Nền tảng pentest AntiFox AI liên quan đến tấn công đánh cắp bí mật AWS
"Researchers discovered the AntiFox AI-powered penetration testing platform being used in attacks to steal AWS credentials and move laterally within compromised environments. The attacks involved exploiting web applications (specifically IIS) and leveraging valid AWS IAM identities to enumerate services and access production secrets. The platform automates reconnaissance, exploitation, and reporting, increasing the speed and efficiency of attacks."
Việc lạm dụng nền tảng pentest AI như AntiFox có thể dẫn đến đánh cắp bí mật và mất dữ liệu nghiêm trọng. Các doanh nghiệp cần tăng cường bảo mật ứng dụng web và giám sát môi trường AWS.
Các doanh nghiệp sử dụng AWS có thể bị ảnh hưởng bởi các cuộc tấn công sử dụng AntiFox. Việc mất dữ liệu và gián đoạn dịch vụ có thể gây thiệt hại về tài chính và uy tín. Cần đầu tư vào giải pháp bảo mật và đào tạo nhân viên.
Các nhà nghiên cứu bảo mật phát hiện nền tảng pentest (kiểm thử xâm nhập) AntiFox, hỗ trợ AI, bị sử dụng trong các cuộc tấn công để lấy cắp thông tin xác thực AWS và di chuyển ngang trong môi trường bị xâm nhập. Sự việc xảy ra từ tháng 11/2026. Các cuộc tấn công khai thác ứng dụng web (đặc biệt là IIS) và sử dụng danh tính IAM (quản lý truy cập) hợp lệ của AWS để liệt kê dịch vụ và truy cập bí mật sản xuất.
AntiFox tự động hóa các bước trinh sát, khai thác và báo cáo, tăng tốc độ và hiệu quả tấn công. Nền tảng này có sẵn trên GitHub, được fork 251 lần và nhận 474 lượt sao. Theo mô tả, AntiFox sử dụng hệ thống multi-agent để thực hiện toàn bộ quy trình pentest, từ trinh sát đến báo cáo.
Arctic Wolf Labs cho biết, kẻ tấn công thường xâm nhập qua ứng dụng IIS bị tổn thương, sau đó tạo web shell ASPX bằng w3wp.exe (tiến trình worker của IIS) để thực thi lệnh hệ thống. Các lệnh này tìm kiếm file web.config, đọc chuỗi kết nối cơ sở dữ liệu, liệt kê thư mục log và cố gắng kết nối cơ sở dữ liệu sản xuất bằng thông tin xác thực lấy từ cấu hình ứng dụng. Kẻ tấn công cũng sao chép file cấu hình và log vào thư mục web có thể truy cập được.
Trong một số trường hợp, kẻ tấn công sử dụng thông tin xác thực AWS hợp lệ để liệt kê và thao tác với các dịch vụ như IAM, EC2, S3, Lambda, Secrets Manager, KMS, RDS, ECS, EKS, Redshift, Athena, Glue, Systems Manager, API Gateway, CloudWatch, CloudFormation, DynamoDB và Amazon Bedrock. Dù nhiều yêu cầu API bị từ chối, kẻ tấn công vẫn thành công trong việc truy xuất bí mật từ Secrets Manager và thực hiện thao tác trên S3.
Arctic Wolf nhấn mạnh, các framework agentic như AntiFox giúp kẻ tấn công dễ dàng thực hiện pentest, đồng thời tăng tốc độ và tính nhất quán của các kỹ thuật tấn công.
Câu hỏi thường gặp
AntiFox là gì?
AntiFox là một nền tảng pentest hỗ trợ AI, có khả năng tự động hóa các bước trinh sát, khai thác và báo cáo. Nó được thiết kế để giúp người dùng thực hiện kiểm thử xâm nhập hiệu quả hơn.
Kẻ tấn công sử dụng AntiFox để làm gì?
Kẻ tấn công sử dụng AntiFox để đánh cắp thông tin xác thực AWS và di chuyển ngang trong môi trường bị xâm nhập. Chúng khai thác các lỗ hổng trong ứng dụng web và sử dụng danh tính IAM hợp lệ để truy cập bí mật.
AntiFox hoạt động như thế nào?
AntiFox sử dụng hệ thống multi-agent để thực hiện toàn bộ quy trình pentest, từ trinh sát đến báo cáo. Nó tự động hóa các tác vụ như quét lỗ hổng, khai thác và tạo báo cáo.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc AntiFox tự động hóa các bước pentest có thể giúp các doanh nghiệp Việt Nam nhỏ hơn thực hiện đánh giá bảo mật thường xuyên hơn. Tuy nhiên, việc nền tảng này bị lạm dụng cho mục đích tấn công cho thấy tầm quan trọng của việc giám sát và bảo vệ môi trường AWS cẩn thận. Các doanh nghiệp nên xem xét sử dụng các công cụ phát hiện bất thường và tăng cường bảo mật cho ứng dụng web IIS.