Crimson Collective greift AWS-Cloudinfrastruktur an

Der Crimson Collective AWS-Angriff markiert eine neue Phase in den weltweiten Cybererpressungskampagnen. Die Bedrohungsgruppe hat ihren Fokus nun auf Amazon Web Services (AWS) verlagert und nutzt offengelegte Zugangsdaten sowie schwache Identitätskontrollen aus. Ziel ihrer Operationen ist es, sensible Daten zu stehlen und die Opfer zu Lösegeldzahlungen zu zwingen. Sicherheitsexperten warnen, dass diese Kampagne gravierende Schwachstellen in der Cloud-Konfigurationspraxis aufzeigt.

Überblick über den Angriff

Crimson Collective erlangte erstmals Aufmerksamkeit, nachdem die Gruppe die Verantwortung für den Diebstahl von über 570 GB Daten aus privaten Repositories übernommen hatte. Inzwischen konzentrieren sich die Angreifer auf AWS-Instanzen, indem sie das Internet nach fehlkonfigurierten Umgebungen und geleakten Zugriffsschlüsseln durchsuchen. Sobald sie gültige Zugangsdaten finden, erstellen sie neue Administratorkonten, um die volle Kontrolle über das System zu erlangen.

Nach dem Eindringen kartieren die Angreifer Benutzer, Server und Datenbanken, um wertvolle Informationen zu identifizieren. In vielen Fällen setzen sie Datenbankkennwörter zurück und kopieren Snapshots in eigene Speicher-Buckets. Außerdem erstellen sie neue EC2-Instanzen und hängen bestehende Volumes an, um den Datendiebstahl zu erleichtern.

Anschließend versenden die Täter Erpressungsnachrichten über das kompromittierte AWS-Konto mithilfe interner E-Mail-Dienste. Diese Methode ermöglicht es ihnen, die Opfer direkt zu bedrohen, während sie weiterhin innerhalb der kompromittierten Umgebung aktiv bleiben.

Sicherheitsmaßnahmen

Amazon rät allen Nutzern, ihre Zugriffskontrollen zu überprüfen und langfristige Zugangsdaten zu entfernen. Das Unternehmen betont die Bedeutung des „Least Privilege“-Prinzips, bei dem jeder Benutzer oder Dienst nur die unbedingt notwendigen Berechtigungen erhält.

Sicherheitsteams sollten zudem kontinuierliche Scans durchführen, um offengelegte Schlüssel mit Open-Source-Tools zu erkennen. AWS empfiehlt, im Falle eines vermuteten Angriffs sofort die internen Richtlinien zur Incident Response zu befolgen, um eine weitere Ausbreitung zu verhindern.

Größere Auswirkungen

Dieser Crimson Collective AWS-Angriff verdeutlicht einen wachsenden Trend hin zu Cloud-basierten Bedrohungen. Angreifer nutzen zunehmend Konfigurationsfehler aus, anstatt klassische Softwareschwachstellen zu attackieren. Das Ergebnis sind schnellere, unauffälligere Angriffe, die viele herkömmliche Sicherheitslösungen umgehen.

Fazit

Die Kampagne von Crimson Collective zeigt, dass selbst führende Cloud-Plattformen ohne strikte Verwaltung von Zugangsdaten und Berechtigungen anfällig bleiben. Unternehmen müssen regelmäßig ihre Schlüssel rotieren, Aktivitätsprotokolle überwachen und das Prinzip der minimalen Berechtigungen konsequent umsetzen, um das Risiko zukünftiger Angriffe zu verringern.