AntiFoxをホストするインフラに関連した活動の最中、攻撃者が数百件のAPIリクエストを拒否されたにもかかわらず、Amazon Web Services（AWS）の本番環境にあるシークレットへアクセスした。AntiFoxはAIを活用したペネトレーションテストプラットフォームで、Arctic Wolf LabsはWebアプリケーションとクラウド環境に関わる侵入を調査した結果を、2026年11月10日に公表した。
ある侵入では、攻撃者が複数のIDを使い、約30分間にわたってAWS APIへのリクエストを数百件送信した。大半は失敗したが、成功したGetSecretValueリクエストによってAWS Secrets Managerから本番環境のシークレットが取得された。この調査結果は、認証情報の悪用リスクと、認可の失敗が相次ぐ中で成功した操作が見逃されるリスクを浮き彫りにしている。
AntiFoxに関連する侵入でAWSのシークレットが露出
The Hacker Newsが報じたArctic Wolfの調査は、AntiFoxのインターフェースをホストするAlibaba Cloudのインフラを、Microsoft Internet Information Services（IIS）アプリケーションやAWSアカウントに関わる悪意ある活動と結び付けた。
AntiFoxは、以前にAIを活用した認証情報窃取キャンペーンへの関与が指摘されたARTEX 0.1.1を基にしたオープンソースのフレームワークだ。研究者は、AntiFoxに関連する行動のうちどれが自律的だったのか、また特定の脅威グループを特定できるかについては、まだ結論を出していない。
あるインシデントでは、攻撃者が正体不明のIISの脆弱性を悪用した。そのw3wp.exeワーカープロセスがASPXのWebシェルを作成し、コマンドを実行できる状態にした。攻撃者はアプリケーション設定、データベース接続文字列、設定ファイルにアクセスした。
別のAWS関連の活動では、有効なIDを使ってIAM、S3、Secrets Managerなどのサービスを列挙していた。調査では、露出したAWSアクセスキーが数千件、いまだ有効な状態で残っていることが確認され、認証情報が侵害された場合のリスクが示された。AntiFoxに関連する攻撃でAWSの認証情報を取得した正確な手法は、明らかになっていない。
別のインシデントでは、S3オブジェクトの不正な読み取り、コピー、削除が行われた。11月12日付のBleepingComputerへの声明でAWSは、自社サービスは侵害されていないとし、この活動は侵害された顧客アプリケーションから取得された認証情報によるものだと説明した。
CloudTrailの欠落がAWSの調査を困難に
AWS CloudTrailで脅威を検知するには、拒否されたリクエストだけでなく、成功した操作も調べる必要がある。ID、資産、関連するアラートを相関させることで、セキュリティ運用チームがアラート量を管理することが可能になり、機密性の高い活動を見落とさずに済む。
AWS CloudTrailのドキュメントによると、イベント履歴にはリージョンごとに管理イベントが90日間保持されるが、データイベントは含まれない。Secrets ManagerのAPI呼び出しではCloudTrailの記録が生成されるものの、シークレットの値が露出することはない。
S3オブジェクト操作には、GetObjectおよびDeleteObject個別に設定したデータイベントのログ記録が必要となる。AWSのS3ロギングに関するガイダンスは、これらのイベントがデフォルトでは記録されないことを確認している。侵入後にロギングを有効にしても、それ以前に収集されなかった活動を復元することはできない。
AWS認証情報の悪用を検知・封じ込める
セキュリティチームは、証拠の収集、認証情報の封じ込め、不正アクセスを制限する制御を優先すべきだ。
- AWSの活動を調査する：成功した
GetSecretValueリクエストを、拒否された操作、見慣れないIPアドレス、複数のIDにまたがる短時間の列挙と相関させる。 - IISアプリケーションを検査する：予期しないASPXファイル、疑わしい
w3wp.exe活動、不正な設定アクセスを探す。アプリケーションプールの権限を制限する。 - 侵害された認証情報を封じ込める：露出したキーを無効化し、対応している場合は影響を受けたセッションを失効させ、シークレットをローテーションし、不正なIAM変更を調査する。
- ID制御を強化する：Secrets Managerへのアクセスを制限し、最小権限を徹底する。埋め込まれた認証情報を一時的なワークロードIDに置き換え、適切なネットワーク制限を適用する。
- ロギングと復旧を改善する：CloudTrailのカバレッジを確認し、S3のデータイベントロギングを有効にして、GuardDutyの検出結果を監視する。S3 Versioningと適切なObject Lock制御で重要なオブジェクトを保護する。
- インシデント対応計画をテストする：認証情報の窃取とシークレットへの不正アクセスをシミュレーションし、検知、封じ込め、証拠の保全、復旧を検証する。
このCloud Security Allianceの分析は、孤立した指標に頼るのではなく、ID、API、インフラの証拠を相関させることを推奨している。調査担当者は、拒否されたリクエストが大半を占めることを理由にインシデントを終了する前に、API操作が成功していないかを確認すべきだ。
詳しく読む：露出したアプリケーション認証情報を伴うZeaburの侵害は、侵害されたホスティングプラットフォームに接続されたサービスにも認証情報のローテーションと復旧確認を広げなければならない理由を示している。