Cảnh báo: Nền tảng AI Pentesting ‘AntiFox’ bị lạm dụng để tấn công hạ tầng AWS

Các chuyên gia từ Arctic Wolf Labs vừa đưa ra cảnh báo về một chiến dịch tấn công nguy hiểm, trong đó nền tảng kiểm thử xâm nhập (pentesting) dựa trên AI có tên gọi AntiFox đang bị kẻ xấu sử dụng làm công cụ để đánh cắp thông tin xác thực Amazon Web Services (AWS) và xâm nhập sâu vào môi trường doanh nghiệp.

Phương thức tấn công tinh vi

Theo báo cáo, các hệ thống trên Alibaba Cloud chạy giao diện AntiFox đã được ghi nhận thực hiện các hành vi độc hại nhắm vào các dịch vụ web công khai và môi trường AWS liên quan. Kẻ tấn công sử dụng chuỗi kỹ thuật bao gồm khai thác lỗ hổng web, triển khai web shell để dò quét cấu hình, xác thực thông tin đăng nhập và truy cập trái phép vào các dịch vụ cloud.

Cụ thể, quá trình xâm nhập ban đầu thường bắt đầu từ một ứng dụng Internet Information Services (IIS) bị lỗi. Kẻ tấn công lợi dụng tiến trình w3wp.exe để tạo web shell ASPX, từ đó thực thi các lệnh PowerShell nhằm:

• Tìm kiếm tệp web.config và các bản sao lưu cấu hình.
• Đọc chuỗi kết nối cơ sở dữ liệu và cài đặt ứng dụng.
• Dò quét các thư mục log và debug.
• Truy cập vào cơ sở dữ liệu sản xuất nội bộ bằng thông tin thu thập được.

Sự trỗi dậy của các công cụ ‘Agentic Hacking’

AntiFox không phải là trường hợp cá biệt. Đây là một phần của làn sóng các khung tấn công tự động (agentic attack frameworks) đang phát triển mạnh mẽ. Các công cụ này cho phép kẻ tấn công, kể cả những người có kỹ năng kỹ thuật hạn chế, có thể tự động hóa toàn bộ quy trình từ trinh sát, khai thác lỗ hổng cho đến trích xuất dữ liệu với tốc độ cực nhanh.

Các nhà nghiên cứu nhấn mạnh rằng việc tích hợp AI vào các công cụ pentesting giúp tội phạm mạng thực hiện các chuỗi tấn công phức tạp mà không cần sự can thiệp thủ công liên tục. Ví dụ, với công cụ ARTEX, kẻ tấn công chỉ cần thiết lập mục tiêu, hệ thống sẽ tự động tìm kiếm các cấu hình sai, khai thác lỗ hổng và thậm chí đánh cắp các chứng chỉ số (code-signing certificates) của Apple.

Nguy cơ đối với doanh nghiệp

Hiện nay có khoảng 45 khung tấn công mã nguồn mở tương tự AntiFox và ARTEX đang tồn tại trên GitHub, cho phép kết nối với các mô hình ngôn ngữ lớn (LLM) để vận hành tự động. Sự kết hợp giữa AI và các công cụ pentesting đã thay đổi cục diện an ninh mạng theo hướng:

• Tốc độ: Rút ngắn thời gian từ khi quét lỗ hổng đến khi chiếm quyền điều khiển xuống chỉ còn vài phút.
• Quy mô: Có khả năng kiểm tra hàng loạt các cấu hình sai mà con người khó có thể thực hiện thủ công.
• Tính bền bỉ: Các tác nhân AI có thể duy trì sự hiện diện và thực hiện các chuỗi tấn công dài hơi mà không bị mệt mỏi hay mất tập trung.

Các chuyên gia khuyến cáo doanh nghiệp cần rà soát kỹ lưỡng các cấu hình cloud, đặc biệt là các thông tin xác thực (secrets) lưu trữ trong AWS Secrets Manager, đồng thời tăng cường giám sát các tiến trình bất thường trên các máy chủ web để ngăn chặn các cuộc tấn công tự động hóa này.

Nguồn tham khảo: The Hacker News