보안업체 "AntiFox 악용 공격, 알리바바 클라우드 서버 경유"

보안업체 아틱울프랩스(Arctic Wolf Labs)가 AI 기반 자율 모의해킹 플랫폼 AntiFox가 실행된 알리바바 클라우드 서버가 외부에 노출된 웹 서비스와 아마존웹서비스(AWS) 환경을 겨냥한 침해에 동원됐다고 밝혔다. 더해커뉴스가 현지시간 11일 이 같은 조사 결과를 보도했다.

AntiFox는 깃허브에서 내려받을 수 있는 자율 모의해킹 플랫폼으로, 기획자와 작업자, 메인 에이전트로 구성된 멀티 에이전트 시스템이다. 아틱울프랩스에 따르면 이 프로젝트는 포크 251건, 스타 474개를 기록했다.

일부 공격에서는 외부에 노출된 IIS 웹 애플리케이션이 최초 침입 경로였다. 공격자들은 IIS 워커 프로세스를 통해 ASPX 웹셸을 생성하고 운영체제 명령을 실행했다. 이들은 설정 파일과 백업을 이용해 애플리케이션 설정과 데이터베이스 연결 문자열을 읽었고, 내부 운영 데이터베이스 접속도 시도했다. 다만 IIS 서버에서 코드를 실행하는 데 쓰인 취약점은 확인되지 않았다.

다른 공격에서는 유효한 AWS 자격 증명이 출발점이었다. 해당 경로가 어떻게 확보됐는지는 공개되지 않았다. 침입자들은 IAM, EC2, S3, Lambda, Secrets Manager, Amazon Bedrock 등 수십 개 서비스를 탐색했다. 대부분의 API 요청은 액세스 거부로 끝났지만 일부 탐색과 시크릿 접근은 성공했으며, 프로덕션 시크릿 값을 조회한 요청도 포함됐다.

한편 체크포인트 리서치는 공격자들이 AI 모의해킹 도구 ARTEX를 악용할 때 목표만 설정하고 작업을 에이전트에 위임하는 경우가 많다고 밝혔다. ARTEX를 악용한 공격은 지난 10월 2025년 이후 증가세를 보였다.