Cybersikkerhedsflash: Nyt Codefinger-ransomwareangreb rammer kompromitterede AWS-nøgler

Den 13. januar afslørede forskere hos anti-ransomware-platformen Halcyon, at en trusselsaktør ved navn Codefinger udnytter kompromitterede AWS-nøgler og krypterer data i S3-buckets. Ofre trues derefter med permanent sletning af data, medmindre der betales en løsesum inden for en uge.

En foruroligende udvikling

Traditionelle ransomwareangreb krypterer filer, enten lokalt eller mens de er undervejs. Det, der gør dette angreb anderledes — og særligt foruroligende — er, at det ikke udnytter en sårbarhed i selve AWS. I stedet bruger det en kompromitteret nøgle med skriverettigheder til at kryptere data og udnytter AWS’ indbyggede krypteringsfunktion til at låse adgangen til kritiske oplysninger.

Når data er krypteret, er det umuligt at gendanne dem uden angriberens nøgle. Derudover er logbeviserne begrænsede, fordi AWS CloudTrail kun registrerer den hashbaserede meddelelsesgodkendelseskode (HMAC) for krypteringsnøglen, hvilket ikke er tilstrækkeligt til gendannelse eller forensisk analyse. Halcyons forskere advarer om, at hvis denne nye metode vinder frem og bliver udbredt, kan den udgøre en enorm, systemomfattende trussel mod organisationer, der bruger Amazon S3 til kritisk datalagring.

Sådan fungerer angrebet

Angrebet udfolder sig i fire faser:

• Angriberen analyserer offentligt afslørede og kompromitterede AWS-nøgler og identificerer dem med rettigheder til at udføre anmodninger af typen s3:GetObject og s3:PutObject.
• Angriberen krypterer filer ved hjælp af AWS’ server-side-kryptering med kundeleverede nøgler (SSE-C).
• Filer markeres til sletning inden for syv dage ved hjælp af API’en S3 Object Lifecycle Management.
• Ofre finder en note i hver berørt mappe, der kræver betaling via bitcoin inden for syv dage. Noten advarer også om, at enhver ændring af kontorettigheder eller filer straks udløser sletning.

Afværgelse af truslen

• Eksponerede organisationer rådes til straks at tage følgende skridt til afværgelse:
• Brug Condition-elementet i politikker for Identity and Access Management (IAM) til at blokere anvendelsen af SSE-C på S3-buckets. Efterfølgende konfigurationer kan begrænse dette til autoriserede data og brugere.
• Aktivér detaljeret logning af S3-handlinger for at opdage usædvanlig aktivitet (f.eks. massekryptering eller ændringer af livscykluspolitikker).
• Brug AWS Security Token Service (AWS STS) til at udstede midlertidige sikkerhedsoplysninger. Tjenesten styrer adgangen til AWS-ressourcer uden at distribuere eller indlejre langsigtede AWS-sikkerhedsoplysninger i en applikation.
• Gennemgå rettighederne for alle AWS-nøgler regelmæssigt, og kontrollér, at de har den mindst nødvendige adgang.
• Deaktivér ubrugte nøgler, og rotér aktive nøgler hyppigt.
• Brug tjenesten AWS Secrets Manager til at oprette, administrere, hente og automatisk rotere ikke-AWS-legitimationsoplysninger (f.eks. databasebrugernavne og adgangskoder) gennem hele deres livscyklus.
• Gå i direkte dialog med AWS Support, der som svar på Codefinger-angrebet har udgivet en ny bulletin i sin vidensbase med titlen “Hvad kan jeg gøre, hvis jeg opdager uautoriseret aktivitet på min AWS-konto?”

Konklusioner og råd

Vi ved alle, at onde aktører kopierer det, der virker, og der er derfor god grund til at være bekymret for, at denne type ransomwareangreb snart bliver almindelig. Det mest overraskende er måske, at det har taget dem så lang tid at prøve metoden, eftersom SSE-C har været tilgængelig siden 2014.

Denne udvikling understreger, hvor afgørende det er, at organisationer, der er afhængige af Amazon S3 til datalagring, sikrer AWS-nøgler eller adgangstokens ordentligt. Alle store cloududbydere tilbyder desuden lignende funktionalitet til kryptering på klientsiden, som kan misbruges.

Den bredere indsigt og konsekvens af dette angreb er en skarp påmindelse om, at ingen er helt sikker mod ransomwareangreb. Det er derfor afgørende, at organisationer tager skridt til at mindske sandsynligheden for eksponering og minimere risikoen. Tilgangen bør omfatte:

• Begræns adgangen til nøgleadministration: Begræns, hvem og hvad der kan få adgang til krypteringsnøgler.
• Følg princippet om mindste privilegium: Sørg for, at nøgler kun har de mindste rettigheder, der er nødvendige til deres tiltænkte formål.
• Minimér angrebsfladen: Gennemgå og reducér regelmæssigt den eksterne adgang til dine cloudressourcer.

Derudover opfordrer vi alle organisationer — også dem, der ikke er eksponeret for Codefinger-angrebet eller andre angreb, der bruger en lignende trusselsvektor — til at indføre og håndhæve strenge politikker for adgangskontrol og administration af privilegier, som kan begrænse skaderne fra ransomwareangreb væsentligt. Organisationer, der vil vide mere om at nå dette kritiske mål, inviteres til at udforske Devolutions PAM, som leverer robusthed i enterprise-klassen i en løsning tilpasset SMV’er og kombinerer brugervenlighed med skalerbarhed. Læs mere om Devolutions PAM.