Ciberdelincuentes están utilizando AntiFox, una plataforma de pruebas de penetración de código abierto con inteligencia artificial, para buscar credenciales y acceder a entornos de Amazon Web Services (AWS). Aunque la herramienta fue creada para ayudar a profesionales de ciberseguridad a identificar vulnerabilidades, su uso malicioso demuestra cómo tecnologías legítimas pueden convertirse en parte de una campaña de intrusión.
## Cómo operaban los atacantes
Investigadores de Arctic Wolf informaron que algunos actores de amenazas alojaron instancias propias de AntiFox en infraestructura de Alibaba Cloud. En ciertos casos, la actividad comenzó con la intrusión de servidores Microsoft IIS expuestos a Internet. Los investigadores no pudieron determinar con precisión cómo se produjo el acceso inicial.
Una vez dentro, los atacantes instalaron *web shells*: archivos que permiten ejecutar comandos de forma remota en un servidor comprometido. Después examinaron archivos de aplicaciones y configuraciones en busca de contraseñas de bases de datos y otros secretos. También se observaron intentos de utilizar las credenciales encontradas para conectarse a bases de datos internas de producción.
En otras operaciones, los atacantes emplearon credenciales válidas de AWS obtenidas por otros medios para explorar entornos en la nube. Buscaron información sobre cuentas, permisos, bases de datos, almacenamiento y otros recursos que pudieran facilitar nuevos accesos o la exposición de datos.
Amazon señaló que sus servicios no fueron comprometidos y que los incidentes descritos involucraron credenciales sustraídas de aplicaciones de clientes. La compañía recomienda seguir las prácticas de seguridad e identidad, entre ellas aplicar el principio de mínimo privilegio, exigir IMDSv2 en instancias EC2, evitar guardar claves de acceso de larga duración en configuraciones de aplicaciones y habilitar Amazon GuardDuty.
## El contexto de AntiFox y ARTEX
AntiFox es una bifurcación de ARTEX 0.1.1, otro marco de pruebas de penetración con IA desarrollado en China. ARTEX ganó notoriedad tras su lanzamiento en julio de 2026 y, según investigadores, posteriormente apareció en distintos incidentes. Censys también identificó consolas de ARTEX expuestas a Internet y directorios públicos que contenían herramientas y archivos sensibles.
El caso pone de relieve un riesgo recurrente: las herramientas diseñadas para auditorías legítimas también pueden ser aprovechadas por atacantes. La disponibilidad de capacidades automatizadas puede acelerar la búsqueda de secretos y la exploración de sistemas una vez que se ha obtenido acceso inicial.
## Medidas para reducir el riesgo
Las organizaciones deberían revisar de forma continua sus servidores web y entornos de nube en busca de señales de actividad inusual, como archivos desconocidos, ejecución no autorizada de comandos o solicitudes rápidas a múltiples servicios de AWS. También conviene investigar intentos de acceder a credenciales desde infraestructura que no forme parte de las operaciones habituales.
Ante indicios de compromiso, es importante eliminar las *web shells* no autorizadas, analizar los sistemas afectados y rotar de inmediato las contraseñas, claves API y credenciales de nube expuestas. Las aplicaciones deben contar únicamente con los permisos necesarios para su funcionamiento, y el registro detallado de actividad puede ayudar a detectar accesos sospechosos y cambios no autorizados.
La protección de AWS depende tanto de los controles de la plataforma como de la gestión segura de las credenciales y los permisos de cada cliente. Reducir secretos almacenados en aplicaciones, limitar el acceso y responder con rapidez ante señales de intrusión puede contener el impacto de una cuenta comprometida.
from Latest from TechRadar https://ift.tt/ofeZJMI
via IFTTT IA
