攻擊者架設開源 AI 滲透代理 AntiFox，植入 webshell 並竊取 AWS 正式環境密鑰

據 BleepingComputer 引述 Arctic Wolf 研究，攻擊者在阿里雲上自架開源代理式滲透測試平台 AntiFox（ARTEX 0.1.1 的分支），用於漏洞利用、部署 webshell、驗證憑證、探查設定與蒐集 AWS 密鑰 ^[1]。報導指其中一案攻擊者在對外的 IIS 伺服器部署 ASPX webshell 並複製設定與日誌檔，再以有效 IAM 使用者與 EC2 角色在約 30 分鐘內發出數百次 AWS API 請求，部分成功取得正式環境密鑰，另一案則以有效 AWS 身分讀取、複製並刪除 S3 物件 ^[1]。AWS 使用者應比對 IIS webshell 活動與異常 AWS 存取、檢視大量拒絕請求中夾雜的成功 API 呼叫，並撤銷受影響的 AWS 工作階段與金鑰、輪替應用程式檔案中暴露的憑證 ^[1]。

對外提供網站服務且使用 AWS 的組織，特別是應用程式設定檔中存有 AWS 憑證或連線字串者 ^[1]

1. 比對 IIS webshell 活動與異常 AWS 存取，並檢視大量被拒請求中夾雜的成功 API 呼叫 ^[1]。
2. 撤銷受影響的 AWS 工作階段與存取金鑰，並輪替透過應用程式檔案暴露的憑證 ^[1]。