AntiFox נולדה כפיצול של ARTEX 0.1.1, עם ממשק בסינית, ומאפשרת להפעיל סוכני AI שמבצעים אוטומטית משימות של בדיקת חדירה, כמו מיפוי שירותים חשופים וחיפוש חולשות. לפי Arctic Wolf, התשתית שאירחה את AntiFox שימשה לניצול חולשות, להתקנת web shell, לאימות פרטי הזדהות ולאיסוף סודות מ-AWS.
באחד המקרים התוקף התקין web shell על שרת IIS חשוף לאינטרנט, ניגש להגדרות אפליקציה ולמחרוזות חיבור למסדי נתונים, והשתמש בזהויות AWS תקפות כדי לשלוח מאות בקשות API בתוך כחצי שעה. רוב הניסיונות נחסמו, אבל בחלק מהמקרים הושגו סודות של סביבת ייצור. במקרה אחר נקראו, הועתקו ונמחקו אובייקטים ב-S3.
מה לעשות: Arctic Wolf ממליצה לבטל את הסשנים והמפתחות של AWS שנפגעו, להחליף פרטי הזדהות שנחשפו בקבצי אפליקציה, ולחפש פעילות web shell ב-IIS שמתואמת עם גישה חריגה ל-AWS. AntiFox עדיין זמינה ב-GitHub; המפרסמים אוסרים שימוש נגד מערכות חיות, אבל לא מתארים מנגנון שאוכף את האיסור.