AntiFox nació como una herramienta abierta para automatizar pruebas de penetración con agentes de inteligencia artificial, y Arctic Wolf Labs acaba de vincularla con intrusiones reales. En varios casos recientes, los atacantes llegaron desde servidores web expuestos hasta los secretos de producción que las víctimas guardaban en Amazon Web Services.
La firma publicó sus hallazgos el 10 de noviembre y conviene fijar el matiz central desde el principio: la plataforma no aparece comprometida. Los atacantes instalaron copias propias de AntiFox en servidores de Alibaba Cloud y la usaron tal cual viene, con su consola web como centro de mando de cada intrusión.
El proyecto apareció en GitHub en octubre como una bifurcación de ARTEX 0.1.1, con licencia AGPL e interfaz en chino. Su diseño reparte el trabajo entre un agente planificador, agentes trabajadores y un agente principal que recorren el ciclo completo de una prueba: reconocimiento, mapa de la superficie de ataque, explotación y captura de hallazgos.
El ciclo no termina en el hallazgo. AntiFox pone el peso en la entrega: convierte lo encontrado en un informe con evidencia que un ingeniero puede reproducir, y ya va por la versión 2.0. Sus autores prohíben usarlo contra sistemas reales, aunque Arctic Wolf subraya que no describen ningún control técnico que haga cumplir esa prohibición.
El vínculo con los ataques está en la infraestructura. Arctic Wolf observó equipos de Alibaba Cloud que alojaban consolas de AntiFox —la interfaz escucha por defecto en el puerto TCP 8787— asociados a acciones maliciosas confirmadas contra servicios web expuestos a internet y contra los entornos de AWS conectados a ellos.
La entrada por IIS: un web shell dentro del proceso de trabajo
En parte de las intrusiones, el acceso inicial pasó por una aplicación de Internet Information Services expuesta a internet. La telemetría de Arctic Wolf muestra al proceso de trabajo de IIS, w3wp.exe, creando un web shell en ASPX y ejecutando comandos del sistema operativo a través de ese mismo proceso, señal de que el compromiso entró por la aplicación afectada.
La vulnerabilidad exacta que permitió ejecutar código en el servidor no fue identificada, y la firma lo deja escrito sin rodeos. Ya dentro, los comandos buscaron lo que suele guardar un servidor de aplicaciones: whoami para conocer el contexto de ejecución, icacls para revisar permisos y pruebas de escritura sobre la raíz web.
Comandos de PowerShell localizaron después los archivos web.config y sus respaldos, de donde salieron ajustes de la aplicación y cadenas de conexión a bases de datos. En un caso, el intruso intentó conectarse a una base de datos interna de producción con una credencial extraída de la propia configuración, y configuraciones y registros terminaron copiados en una carpeta de subida accesible desde la web.
No todas las intrusiones empezaron por el servidor web. En otras, el actor partió de una credencial válida de AWS obtenida por medios que Arctic Wolf no logró determinar. Con esa primera llave, el ataque saltaba directo a la nube, donde empezaba la parte más ruidosa y rápida de la operación.
Cientos de llamadas a AWS en media hora, con éxitos entre los rechazos
Con identidades válidas en la mano —usuarios de IAM y, en algunos casos, un rol de EC2 asumido— la infraestructura vinculada a AntiFox validó credenciales y probó permisos servicio por servicio. La lista que documenta Arctic Wolf es larga: IAM, EC2, S3, Lambda, Secrets Manager, KMS, RDS, ECS, EKS, Redshift, Athena, Glue, Systems Manager, API Gateway, CloudWatch, CloudFormation, DynamoDB y Amazon Bedrock.
Las operaciones fueron de lectura —List, Get y Describe— y la gran mayoría terminó en AccessDenied, pero no todas. En una de las intrusiones, el origen fue rotando entre varias identidades de AWS y generó cientos de solicitudes a la API en unos 30 minutos, mezclando rechazos con operaciones de descubrimiento que sí salieron bien.
El avance decisivo llegó en Secrets Manager: la actividad pasó de enumerar el servicio a completar una solicitud GetSecretValue contra un secreto de producción, es decir, a leer su valor. En otro incidente, una identidad válida sirvió para descubrir cubos de S3 y ejecutar operaciones de lectura, copia y borrado de objetos.
La advertencia central de Arctic Wolf apunta a ese contraste: una secuencia no fracasó porque casi todo haya sido denegado. La firma recomienda aislar los servidores web afectados, revocar las sesiones y claves de AWS expuestas y rotar cualquier credencial que viva en archivos web.config, artefactos de despliegue, registros o variables de entorno.
También pide vigilar la telemetría de Secrets Manager y alertar cuando un GetSecretValue exitoso llega desde infraestructura desconocida, activar los eventos de gestión de CloudTrail y los eventos de datos de S3 en cubos sensibles, aplicar versionado y Object Lock donde corresponda y forzar IMDSv2 en las instancias de EC2.
El caso no llega solo. AntiFox forma parte de un conjunto de unos 45 marcos agénticos de código abierto capaces de conectar un modelo de lenguaje y actuar sobre sus resultados, familia en la que también milita su propio origen, ARTEX.
Aquí ya contamos cómo otros agentes de IA de pentesting terminaron usados contra terceros, y la lectura de Arctic Wolf es clara: estos marcos ponen velocidad y constancia de máquina al alcance de actores con poca experiencia. Su informe no atribuye las intrusiones a ningún grupo concreto ni nombra a las organizaciones afectadas.
Fuente: The Hacker News
