Da un server IIS compromesso alle credenziali AWS di produzione
Arctic Wolf Labs ha collegato infrastrutture che ospitavano AntiFox a diverse intrusioni contro servizi web esposti e relativi ambienti AWS. In alcuni casi, l’accesso a un’applicazione IIS è diventato un passaggio verso risorse cloud di produzione, segreti e archivi.
Una web shell permette di eseguire comandi con i privilegi del server IIS. Da lì, gli attaccanti possono leggere file di configurazione e registri dell’applicazione, dove possono trovarsi credenziali per database e servizi cloud. Credenziali AWS valide consentono poi di esplorare i servizi e raggiungere risorse a cui l’applicazione stessa ha accesso.
Se le configurazioni contengono credenziali leggibili, compromettere il servizio web può aprire la strada al cloud senza violare AWS direttamente. Rimuovere la web shell o correggere il punto d’ingresso non rende inutilizzabili le credenziali già sottratte né chiarisce se le risorse di produzione siano state consultate.
Hackers use AntiFox AI agents in AWS credential-theft attacks
Attackers are using Alibaba Cloud to host self-managed instances of AntiFox, an open-source agentic penetration testing platform, to target web services and AWS environments.