与 AntiFox 相关的入侵利用 IIS Webshell 和有效 AWS 凭据
Arctic Wolf Labs 将托管 AntiFox 的基础设施与面向公网的 IIS 应用及 AWS 客户账户入侵关联起来。研究人员观测到生产密钥被成功读取，另有活动涉及读取、复制和删除 S3 对象。
- 披露时间
- 2026年11月10日
- 公开披露日期
- 严重程度
- 拉裤子了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 遭入侵的公网 IIS 应用，以及被有效 IAM 凭据或角色会话访问的 AWS 客户账户。
- AntiFox · IIS · AWS · 凭据
- 在野利用
- 已发现
- Arctic Wolf 观测到实际入侵和成功的 AWS API 调用。
发生了什么
Arctic Wolf 观测到一个 IIS 工作进程写入 ASPX Webshell，并执行命令提取应用设置和数据库连接字符串。最初被利用的 IIS 漏洞尚不明确。另有活动从来源不明的有效 AWS 凭据开始。云端操作使用现有 AWS 身份，在客户环境内发生。研究人员没有披露受害者数量，也没有将每项操作归因于 AI 智能体。
案发时间线
11月10日 16:41 UTC
Arctic Wolf Labs 发布调查结果
报告将托管 AntiFox 的基础设施与 IIS Webshell 活动及使用有效 AWS 身份滥用 API 的行为关联起来。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Arctic Wolf Labs original report一手来源记录观测到的 IIS 和 AWS 活动、调查范围、指标及遏制步骤。
- AWS IAM role session revocation一手来源AWS 吊销活跃 IAM 角色会话的官方步骤。