นักวิจัยด้านความปลอดภัยของ Arctic Wolf พบว่ามีการใช้ AntiFox ซึ่งเป็นแพลตฟอร์มทดสอบเจาะระบบแบบ open-source ที่สามารถติดตั้งและจัดการได้ด้วยตนเอง โดยโฮสต์อยู่บน Alibaba Cloud เพื่อโจมตีบริการบนเว็บและสภาพแวดล้อมของ AWS
AntiFox ซึ่งแตกแขนงมาจาก ARTEX 0.1.1 มีอินเทอร์เฟซภาษาจีน และอนุญาตให้ผู้ใช้ติดตั้ง AI agents เพื่อทำงานทดสอบเจาะระบบอัตโนมัติ เช่น การทำแผนที่บริการที่เปิดเผยและการทดสอบจุดปลายทางเพื่อหาช่องโหว่
ในหลายกรณีที่ถูกสังเกตพบ การโจมตีที่ใช้โครงสร้างพื้นฐานของ Alibaba Cloud ที่โฮสต์ AntiFox ได้ใช้ตัวตนของ AWS ที่ถูกต้อง รวมถึง IAM users และในบางกรณีคือ EC2 roles เพื่อทำการร้องขอไปยัง Amazon Web Services APIs
หนึ่งในกรณีที่ถูกรายงานคือการติดตั้ง ASPX webshell บนเซิร์ฟเวอร์ IIS ที่เปิดสู่สาธารณะ เพื่อรันคำสั่ง OS เข้าถึงการตั้งค่าแอปพลิเคชัน และคัดลอกไฟล์การกำหนดค่าและบันทึกไปยังไดเรกทอรีที่เข้าถึงผ่านเว็บได้
รายงานของ Arctic Wolf ได้ให้แนวทางการล่าและการแนะนำสำหรับฝ่ายป้องกัน โดยรวมถึงการเชื่อมโยงกิจกรรมของ IIS webshell เข้ากับการเข้าถึง AWS ที่ผิดปกติ และการตรวจสอบการเรียก API ที่สำเร็จท่ามกลางการปฏิเสธการเข้าถึง
ศัพท์ที่ควรรู้
- AntiFox – แพลตฟอร์มทดสอบเจาะระบบแบบ open-source ที่ถูกใช้ในการโจมตี
- AWS – คือสภาพแวดล้อมคลาวด์ของ Amazon ที่ถูกโจมตี
- Alibaba Cloud – คือบริการคลาวด์ที่ผู้โจมตีใช้ในการโฮสต์ AntiFox
- IAM users – คือบัญชีผู้ใช้ที่มีสิทธิ์ใน AWS ที่ถูกผู้โจมตีใช้
- ASPX webshell – คือโค้ดที่ถูกติดตั้งเพื่อใช้เป็นประตูหลังในการควบคุมเซิร์ฟเวอร์
ที่มา: bleepingcomputer.com