Crimson Collective AWS-angrepet markerer en ny fase i kampanjer for digital utpressing. Trusselaktøren har nå rettet fokus mot Amazon Web Services-miljøer og utnytter eksponerte legitimasjonsopplysninger og svake identitetskontroller. Gruppens operasjoner har som mål å stjele sensitiv data og presse ofrene til å betale løsepenger. Sikkerhetsforskere advarer om at denne kampanjen avslører store hull i praksisen for skykonfigurasjon.
Oversikt over angrepet
Crimson Collective fikk først oppmerksomhet etter å ha påtatt seg ansvaret for å stjele over 570 GB data fra private kode- og lagringsmiljøer. Gruppen retter seg nå mot AWS-instanser ved å skanne internett etter feilkonfigurerte miljøer og lekkede tilgangsnøkler. Når de finner gyldige opplysninger, oppretter hackerne nye administrative kontoer for å få full kontroll.
Etter å ha fått tilgang kartlegger de brukere, servere og databaser for å identifisere verdifull informasjon. I mange tilfeller tilbakestiller de databasepassord og kopierer øyeblikksbilder til egne lagringsbøtter. De oppretter også nye EC2-instanser og kobler eksisterende volumer til disse for å gjøre datatyveriet enklere.
Angriperne sender deretter utpressingsmeldinger fra det kompromitterte AWS-miljøet ved hjelp av interne e-posttjenester. Denne metoden lar dem true ofrene direkte, samtidig som de forblir inne i den infiserte infrastrukturen.
Sikkerhetstiltak
Amazon oppfordrer alle brukere til å gjennomgå tilgangskontroller og fjerne langvarige legitimasjonsopplysninger. Selskapet understreker viktigheten av «least privilege»-prinsippet, der hver bruker eller tjeneste bare får tilgang til det som er strengt nødvendig.
Sikkerhetsteam bør i tillegg kjøre kontinuerlige skanninger for å avdekke eksponerte nøkler ved hjelp av åpne verktøy. AWS anbefaler å følge sine etablerte retningslinjer for hendelseshåndtering umiddelbart etter mistanke om et brudd for å begrense skadeomfanget.
Bredere konsekvenser
Dette Crimson Collective AWS-angrepet illustrerer en økende trend innen skybaserte trusler. Angripere retter seg i økende grad mot konfigurasjonsfeil i stedet for tradisjonelle programvaresårbarheter. Resultatet er raskere og mer skjulte angrep som omgår mange sikkerhetsløsninger.
Konklusjon
Crimson Collectives kampanje viser at selv ledende skyplattformer er sårbare uten streng håndtering av nøkler og tilgang. Bedrifter må regelmessig rotere nøklene sine, overvåke aktivitetslogger og håndheve minstetilgang for å redusere risikoen for fremtidige angrep.
0 responses to “Crimson Collective angriper AWS-molninfrastruktur”