Hackers usan agentes de IA AntiFox para robar credenciales de AWS

Una campaña de ciberseguridad publicada el 10 de noviembre de 2026 y ampliada hoy por BleepingComputer muestra cómo actores maliciosos acaparan infraestructura en Alibaba Cloud para ejecutar el framework de pentesting AntiFox y extraer credenciales de AWS.

Por qué importa: el modelo no se limita a un ataque concreto, sino a una forma de operar que puede hacerse a velocidad de máquina. Cuando un atacante consigue una credencial de AWS válida, ya no necesita un equipo calificado para recorrer fases de forma manual: un framework de pentesting con IA puede autogestionar la exploración de servicios, prueba de permisos y robo de secretos. El resultado es que una puerta de entrada que antes requería muchos recursos se convierte en una vía de acceso a componentes de alta valor, como una cuenta de producción, en poco tiempo.

Según los investigadores de Arctic Wolf Labs, la infraestructura albergaba una consola AntiFox accesible desde Internet y, a partir de ella, los atacantes lanzaron solicitudes autenticadas a la API de Amazon Web Services, usando identidades de AWS válidas para enumerar servicios, leer secretos de producción y operar con objetos de almacenamiento.

El informe de Arctic Wolf (compartido con BleepingComputer y The Hacker News) confirma acciones concretas: despliegue de un webshell ASPX en un servidor IIS, lectura de ficheros de configuración con cadenas de conexión a bases de datos, copia de logs y acceso a objetos de S3. El bloque completo de indicadores se incluye al final del artículo.

Qué es AntiFox y qué dice la fuente oficial

AntiFox es un framework de pentesting autónomo basado en IA, creado como derivación de ARTEX 0.1.1 y publicado en GitHub. Su interfaz está disponible en chino y permite a los usuarios desplegar agentes de IA que automatizan tareas de pruebas de penetración: mapeo de servicios expuestos, exploración de endpoints, validación de credenciales y generación de informes.

El proyecto se describe como un sistema multiagente con núcleo de "dual-graph" (un grafo de activos compartido y otro de exploración por tarea), que corría de reconocimiento a la entrega de un informe. Está licenciado bajo AGPL-3.0 y necesita un motor de lenguaje (Anthropic, OpenAI o otro) para operar; la generación de informes en formato DOCX requiere Python.

Según BleepingComputer, los editores de AntiFox prohíben usarlo contra sistemas en vivo o con fines ilegales, pero no describen controles técnicos que lo impongan.

Lo confirmado por Arctic Wolf

Arctic Wolf observó que el tráfico aprovechaba infraestructura AntiFox alojada en Alibaba Cloud y usaba identidades de AWS válidas: en varios casos usuarios IAM y, en otras, roles EC2 asumidos, para hacer solicitudes autenticadas a los endpoints de AWS.

Los casos observados incluyen:

• Webshell ASPX en un servidor IIS expuesto a Internet, desplegado vía el proceso w3wp.exe, seguido de ejecución de comandos OS, lectura de configuración de aplicaciones y de cadenas de conexión a bases de datos, y copia de ficheros de configuración y de logs a una carpeta accesible desde web.
• Acceso a almacenamiento S3 mediante identidades de AWS válidas, incluyendo lectura, copia y eliminación de objetos.
• Enumeración de servicios: centenares de peticiones API cruzadas entre servicios en torno a los 30 minutos, cambiando de identidad y probando permisos. Las llamadas de descubrimiento usaron patrón List/Get/Describe y incluyeron operaciones contra IAM, EC2, S3, Lambda, Secrets Manager, KMS, RDS, ECS, EKS, Redshift, Athena, Glue, Systems Manager, API Gateway, CloudWatch, CloudFormation, DynamoDB y Bedrock. En un caso, el tráfico pasó de la enumeración de Secrets Manager a una llamada GetSecretValue exitosa contra un secreto de producción.

Arctic Wolf recomienda a los defensores: correlacionar actividad de webshells IIS con acceso atípico a AWS, revisar llamadas GetSecretValue procedentes de nueva infraestructura, invalidar sesiones y claves afectadas, y rotar las credenciales expuestas en ficheros de configuración.

Lo relevante: una IA que convierte la brecha en automatización

El punto más preocupante de la campaña no es el framework en sí, sino el patrón que sigue: un perfil de ataque que antes exigía un equipo calificado para recorrer fases de forma manual ahora puede hacerlo con menos habilidad y a mayor velocidad.

Cuando un atacante tiene una credencial de AWS válida, el trabajo no termina en la enumeración. AntiFox permite automatizar la cadena: empezando por una puerta de entrada (un IIS comprometido o una credencial robada por otros medios), la plataforma siguió probando identidades y servicios hasta llegar a secretos de producción. En un caso, la progresión de la enumeración de Secrets Manager a una llamada GetSecretValue exitosa contra un secreto de producción se produce en el mismo lapso de intensidad de tráfico: centenares de peticiones en unos 30 minutos.

Ese mismo enfoque, con menos de una semana de antelación, aparecía con ARTEX, otro framework de pentesting con IA desarrollado en China que se usó contra bancos de Corea del Sur. CrowdStrike vinculó ARTEX a una campaña de ciberespionaje ejecutada por el grupo Vapor Panda que alcanzó a más de 200 organizaciones en 14 países.

La paralelismo es llamativo: un mismo tipo de ataque (IA autosuficiente a partir de un framework abierto) se adapta a objetivos distintos sin que los mismos responsables tengan que reescribir código. El resultado es que el punto de entrada que antes era crítico —una credencial datoria— se convierte en una puerta de engano para componentes de alta valor.

Lo que sigue sin saber

El informe de Arctic Wolf no identifica explícitamente a las víctimas ni al grupo detrás de las intrusiones, y los investigadores señalan que no pudieron determinar la vulnerabilidad inicial que se explotó en el acceso al IIS.

En otros de los casos observados, el atacante comenzó con una credencial de AWS válida de origen no confirmado, lo que introduce una incertidumbre: no se sabe si la fuga fue por phishing, un acceso no autorizado o la violación de credenciales, y aunque el comportamiento posterior es idéntico, el vector inicial pudo ser distinto.

Por otra parte, el framework sigue disponible en GitHub (versión 2.0, con mejoras en documentación y reportes). Lo que no se sabrá hasta que aparezcan detecciones o investigaciones posteriores es cuántas veces el mismo tráfico se ha reinventado como "pentesting automatizado" antes de que Arctic Wolf lo detectara.

Qué hacer si trabajas con AWS

La recomendación de Arctic Wolf es práctica y orientada a defensores:

1. Revisar solicitudes GetSecretValue procedentes de IPs, hosts o sistemas autónomos no asociados a la identidad habitual.
2. Vigilar picos de operaciones List/Get/Describe sobre servicios cloud a las que hacen las mismas identidades.
3. Rotar credenciales y revocar sesiones expuestas, especialmente en ficheros de configuración y ficheros de log.
4. Habilitar IMDSv2 en las instancias (evita el acceso a metadatos si una sesión está comprometida).
5. Habilitar versioning de S3 y Object Lock para limitar el daño de operaciones de copia o eliminación no autorizadas.

Los indicadores técnicos puestos a disposición por Arctic Wolf son: dos direcciones IP de Alibaba Cloud, el puerto TCP/8787, el título de la consola AntiFox y el user-agent Boto3 1.43.125, que se usa para las solicitudes de API.

---

Nota de transparencia: este artículo se escribe a partir del informe de Arctic Wolf Labs y de las coberturas de BleepingComputer, The Hacker News y MLQ.ai. Arctic Wolf publicó el reporte el 10 de noviembre de 2026; BleepingComputer lo difundió el 11 de noviembre. No se dispone de lista de víctimas ni de nombreado del responsable.