Gli aggressori utilizzano Alibaba Cloud per ospitare istanze autogestite di AntiFox, una piattaforma open-source di penetration test agentica, per prendere di mira servizi web e ambienti AWS. L’infrastruttura che ospita AntiFox è stata utilizzata per varie attività dannose, tra cui lo sfruttamento di vulnerabilità, l’implementazione di webshell, la convalida delle credenziali, l’individuazione delle configurazioni e l’acquisizione di segreti AWS.

. Inizialmente creato come fork di ARTEX 0.1.1, AntiFox ha un’interfaccia in lingua cinese e consente agli utenti di implementare AI agent e automatizzare le attività comuni di penetration test, come la mappatura dei servizi esposti e l’analisi degli endpoint di destinazione per individuare le vulnerabilità.