Cloudflare cảnh báo framework pentest AI tự động mở rộng dò quét hạ tầng Internet

Cloudflare cảnh báo các framework pentest AI tự động như ARTEX đang mở rộng quy mô dò quét và khai thác hạ tầng lộ Internet. Trong các sự cố được Cloudforce One điều tra, thông tin xác thực bị đánh cắp cũng được dùng để pivot giữa môi trường hyperscaler và Cloudflare.

Tổng quan và thông tin kỹ thuật

ARTEX và các framework tương tự điều phối AI agent cùng công cụ pentest để tự động lập bản đồ mục tiêu, dò tìm điểm yếu và thực hiện các bước tấn công. Các agent có thể hoạt động song song, lập đồ thị tài sản và mục tiêu, sau đó quan sát, ưu tiên và thử nghiệm dịch vụ lộ ra ngoài.

Trong các sự cố được điều tra, tác nhân đe dọa dùng token API tĩnh, không hết hạn trong pipeline CI/CD, có quyền truy cập rộng và không giới hạn IP hoặc tốc độ. Cloudflare ghi nhận việc dùng token để pivot giữa môi trường hyperscaler và Cloudflare.

Phạm vi ảnh hưởng

Thông tin cảnh báo tập trung vào hạ tầng và dịch vụ lộ Internet, các ứng dụng web, cùng thông tin xác thực có quyền truy cập rộng trong pipeline CI/CD. Đặc biệt cần chú ý token API tĩnh, không hết hạn và không bị giới hạn theo IP hoặc tốc độ. Hồ sơ không xác định nhánh phiên bản phần mềm bị ảnh hưởng.

Cơ chế và tác động

Các framework có thể tự động quan sát và thử nghiệm dịch vụ công khai để tìm điểm yếu; khi kết hợp thông tin xác thực bị đánh cắp, tác nhân có thể dùng chúng để pivot giữa các môi trường. Cloudflare cũng quan sát các nỗ lực duy trì hiện diện và xác thực token phiên của ứng dụng bên thứ ba.

Các dấu hiệu được ghi nhận gồm Worker mới có tên artex-*, artex-pgrecon-*, artex-pgw-* hoặc artex-do-* kèm hậu tố chữ-số; lưu lượng vượt 69 yêu cầu mỗi phút trên nhiều phần hạ tầng; và 400 yêu cầu dump cơ sở dữ liệu trong một giờ. Đây là dấu hiệu quan sát được trong các sự cố, không tự chứng minh rằng một hệ thống có dấu hiệu đó đã bị xâm nhập.

Khắc phục và giảm thiểu

1. Ưu tiên rà soát các ứng dụng và dịch vụ lộ Internet, token API và hoạt động bất thường.

2. Rà soát thông tin xác thực trong CI/CD; tránh token tĩnh không hết hạn và quyền truy cập rộng. Với token có nguy cơ bị lộ, giảm quyền cần thiết, hạn chế theo IP và tốc độ, rồi thu hồi hoặc xoay vòng token.

3. Áp dụng sáu trụ cột Modern Security Model được Cloudflare khuyến nghị:

   • Triển khai WAF với quy tắc nâng cao như giới hạn tốc độ.
   • Phát hiện bất thường trên các ứng dụng web khách hàng truy cập và triển khai Bot Defense.
   • Yêu cầu Identity-Gated Access cho ứng dụng web nội bộ và bên ngoài có rủi ro cao.
   • Thực thi schema đã được xác thực cùng các kiểm soát bảo mật rõ ràng.
   • Sử dụng Threat Intelligence để tăng khả năng quan sát tấn công.

Nguồn tham khảo

• Cloudflare Blog: Adapting to AI penetration testing orchestrators