The Hacker News ngày 11/11 (giờ địa phương) đưa tin nền tảng mô phỏng tấn công bằng trí tuệ nhân tạo (AI) Antifox đã bị lợi dụng trong các chiến dịch nhằm đánh cắp thông tin xác thực Amazon Web Services (AWS) và thâm nhập sâu hơn vào hệ thống nội bộ của nạn nhân.

Theo bài viết, Arctic Wolf Labs cho biết trong một báo cáo rằng các máy chủ Alibaba Cloud chạy Antifox có liên quan đến nhiều vụ xâm nhập gần đây, nhắm vào các dịch vụ web công khai và môi trường AWS.

Antifox là nền tảng mô phỏng tấn công tự động, có thể tải về từ GitHub. Công cụ này vận hành theo mô hình đa tác nhân, gồm planner, worker và main agent, cho phép tự động hóa nhiều bước như trinh sát, dò tìm bề mặt tấn công, khai thác lỗ hổng và lập báo cáo. Trên GitHub, dự án hiện có 251 lượt fork và 474 lượt star.

Arctic Wolf cho biết trong một số vụ việc, điểm xâm nhập ban đầu là các ứng dụng IIS chạy trên web server công khai.

Sau khi vào được hệ thống, kẻ tấn công tạo web shell ASPX dưới tiến trình của IIS để chạy lệnh ở cấp hệ điều hành. Web shell là tệp điều khiển từ xa được cài lén trên máy chủ, còn ASPX là định dạng trang web thường dùng trong môi trường IIS, giúp mã độc ngụy trang như một trang web thông thường.

Từ đó, nhóm tấn công tiếp tục tìm kiếm các tệp cấu hình và bản sao lưu, đọc cấu hình ứng dụng cũng như chuỗi kết nối cơ sở dữ liệu. Với thông tin xác thực trích xuất từ các tệp này, chúng còn thử truy cập vào cơ sở dữ liệu nội bộ. Lỗ hổng được sử dụng để thực thi mã trên máy chủ IIS hiện vẫn chưa được xác định.

Ở một số vụ khác, kẻ tấn công bắt đầu bằng thông tin xác thực AWS hợp lệ nhưng chưa rõ nguồn gốc. Chúng tiến hành do thám hàng chục dịch vụ như IAM, EC2, S3, Lambda, Secrets Manager và Amazon Bedrock. Phần lớn lệnh gọi API bị từ chối do không đủ quyền, nhưng một số hoạt động do thám và truy xuất secret vẫn thành công. The Hacker News cho biết từng ghi nhận trường hợp yêu cầu lấy giá trị secret trong môi trường vận hành đã thực hiện thành công.

Arctic Wolf nhận định các agentic framework như Antifox đang hạ thấp rào cản tiếp cận các kỹ thuật mô phỏng tấn công đối với tác nhân đe dọa, đồng thời giúp tăng tốc độ và độ nhất quán khi áp dụng vào các cuộc tấn công thực tế.

Không chỉ Antifox, các vụ tấn công lạm dụng công cụ mô phỏng tấn công AI Artex cũng đang gia tăng. Theo Check Point Research, trong nhiều trường hợp, kẻ vận hành chỉ cần nêu mục tiêu rồi giao phần còn lại cho các tác nhân tự động thực hiện.