Veille menaces / Campagne
AntiFox : un agent IA de test d'intrusion utilisé pour extraire des secrets de production de comptes AWS
Arctic Wolf indique que des attaquants font tourner sur Alibaba Cloud leurs propres instances d'AntiFox, une plateforme open source de test d'intrusion agentique dérivée d'ARTEX 0.1.1, et s'en servent pour exploiter des failles, déposer des webshells et récolter des secrets AWS. Lors d'une intrusion, l'attaquant a utilisé des identités AWS valides, en a enchaîné plusieurs et a envoyé des centaines de requêtes API en une trentaine de minutes ; la plupart ont été refusées, mais certaines ont abouti et donné accès à des secrets de production. AWS affirme que ses services n'ont pas été compromis et ont fonctionné comme prévu, et que les identifiants ont été pris dans des applications de clients compromises.
- Secteur
- Tous secteurs
- Point d'entrée
- Pas encore public
- Produit ou fournisseur
- AWS, Microsoft IIS
- Comment c'est arrivé
- Les attaquants pilotaient AntiFox depuis Alibaba Cloud. Dans un cas, ils ont déposé un webshell ASPX sur un serveur IIS exposé sur Internet, lu des fichiers de configuration et des chaînes de connexion et les ont copiés dans un dossier accessible depuis le web ; la façon dont le webshell a été installé n'est pas précisée. Dans AWS, ils ont utilisé des identités valides, des utilisateurs IAM et parfois des rôles EC2 assumés, qui selon AWS provenaient d'applications de clients compromises. Les rapports ne disent pas que chaque intrusion AWS a commencé par un webshell.[1][2][3] Vérifié le 13 nov. 2026
- Ce qui a été volé
- Des secrets de production obtenus par certaines requêtes API AWS réussies, ainsi que des paramètres d'applications, des chaînes de connexion à des bases de données, des fichiers de configuration et des journaux. Dans un incident distinct, une identité AWS valide a servi à lire, copier et supprimer des objets S3.[1][2][3] Vérifié le 13 nov. 2026
- Qui est touché
- Des organisations dont les serveurs web ou les comptes AWS ont été atteints. Les victimes, leurs secteurs et leur nombre ne sont pas précisés.[1][3] Vérifié le 13 nov. 2026
- Acteur
- Non attribué. Aucun acteur nommé. Arctic Wolf indique que les systèmes Alibaba Cloud hébergeant des interfaces AntiFox ont été associés à des actions malveillantes confirmées.
Chronologie
- BleepingComputer relaie les constats d'Arctic Wolf sur AntiFox, un dérivé d'ARTEX 0.1.1 à l'interface en chinois, hébergé sur Alibaba Cloud et utilisé contre des serveurs web et des comptes AWS. [1]
- GitGuardian publie son analyse et conseille de chercher dans CloudTrail des appels API réussis au milieu de rafales de requêtes refusées, de révoquer les sessions et clés AWS et de renouveler les identifiants stockés dans les fichiers de configuration des applications. [2]
- AWS indique à BleepingComputer que ses services n'ont pas été compromis et ont fonctionné comme prévu, et que l'activité reposait sur des identifiants pris dans des applications de clients compromises. [1][3]