Boletín de ciberseguridad: un nuevo ataque de ransomware Codefinger ataca claves de AWS comprometidas

El 13 de enero, investigadores de la plataforma antirransomware Halcyon revelaron que un actor de amenazas conocido como Codefinger está explotando claves de AWS comprometidas para cifrar datos almacenados en buckets de S3. A continuación, las víctimas reciben la amenaza de eliminación permanente de sus datos si no pagan un rescate en el plazo de una semana.

Un avance preocupante

Los ataques de ransomware convencionales cifran ficheros, ya sea de forma local o durante su transferencia. Sin embargo, lo que diferencia a este ataque —y lo hace especialmente preocupante— es que no explota ninguna vulnerabilidad de AWS en sí. En su lugar, utiliza una clave comprometida con permisos de escritura para cifrar datos, aprovechando la función de cifrado integrada de AWS para bloquear el acceso a información crítica.

Una vez cifrados los datos, es imposible recuperarlos sin la clave del atacante. Además, la evidencia registrada en los logs es limitada, ya que AWS CloudTrail solo captura el código de autenticación de mensajes basado en hash (HMAC) de la clave de cifrado, lo cual resulta insuficiente para la recuperación o el análisis forense. Los investigadores de Halcyon advierten que, si este nuevo método gana terreno y se generaliza, podría representar una amenaza enorme y sistémica para las organizaciones que utilizan Amazon S3 para el almacenamiento de datos críticos.

Cómo funciona el ataque

El ataque se desarrolla en cuatro etapas:

• El atacante analiza claves de AWS divulgadas públicamente o comprometidas, e identifica aquellas con permisos para ejecutar solicitudes s3:GetObject y s3:PutObject.
• El atacante cifra los ficheros mediante el cifrado del lado del servidor de AWS con claves proporcionadas por el cliente (SSE-C).
• Los ficheros se marcan para su eliminación en un plazo de siete días mediante la API de gestión del ciclo de vida de objetos de S3 (S3 Object Lifecycle Management).
• Las víctimas encuentran una nota en cada directorio afectado que exige el pago en bitcoin en un plazo de siete días. La nota también advierte de que cualquier cambio en los permisos de la cuenta o en los ficheros desencadenará de inmediato su eliminación.

Cómo mitigar la amenaza

• Se recomienda a las organizaciones expuestas que adopten de inmediato las siguientes medidas de mitigación:
• Utilizar el elemento Condition en las políticas de gestión de identidades y accesos (IAM) para bloquear la aplicación de SSE-C en los buckets de S3. Posteriormente, pueden realizarse configuraciones adicionales para restringir su uso a los datos y usuarios autorizados.
• Habilitar un registro detallado de las operaciones de S3 para detectar actividad inusual (por ejemplo, cifrado masivo o cambios en las políticas del ciclo de vida).
• Utilizar el servicio AWS Security Token Service (AWS STS) para emitir credenciales de seguridad temporales. Este servicio controla el acceso a los recursos de AWS sin necesidad de distribuir ni integrar credenciales de seguridad de AWS de larga duración dentro de una aplicación.
• Revisar periódicamente los permisos de todas las claves de AWS y comprobar que cuentan con el acceso mínimo necesario.
• Deshabilitar las claves que no se utilicen y rotar con frecuencia las claves activas.
• Utilizar el servicio AWS Secrets Manager para crear, gestionar, recuperar y rotar automáticamente las credenciales ajenas a AWS (por ejemplo, nombres de usuario y contraseñas de bases de datos) a lo largo de todo su ciclo de vida.
• Contactar directamente con el soporte de AWS, que, en respuesta al ataque Codefinger, ha publicado un nuevo boletín en su base de conocimientos titulado «What can I do if I notice unauthorized activity in my AWS account?» (¿Qué puedo hacer si detecto actividad no autorizada en mi cuenta de AWS?).

Conclusiones y recomendaciones

Todos sabemos que los ciberdelincuentes copian lo que funciona, por lo que existe una razón válida para preocuparse de que este tipo de ataque de ransomware se generalice en poco tiempo. De hecho, quizás lo más sorprendente es que hayan tardado tanto en probar este método, ya que SSE-C está disponible desde 2014.

Este avance pone de relieve la importancia crítica de que las organizaciones que dependen de Amazon S3 para el almacenamiento de datos protejan adecuadamente sus claves de AWS o tokens de acceso. Además, todos los principales proveedores de servicios en la nube ofrecen funciones de cifrado del lado del cliente similares, que también podrían ser objeto de abuso.

La conclusión más amplia de este ataque es un recordatorio contundente de que nadie está completamente a salvo de los ataques de ransomware. Por ello, es fundamental que las organizaciones adopten medidas para reducir la probabilidad de exposición y minimizar el riesgo. Este enfoque debería incluir:

• Restringir el acceso a la gestión de claves: limitar quién y qué puede acceder a las claves de cifrado.
• Aplicar el principio de mínimo privilegio: garantizar que las claves solo cuenten con los permisos mínimos necesarios para su finalidad prevista.
• Minimizar la superficie de ataque: revisar y reducir periódicamente el acceso externo a sus recursos en la nube.

Además, instamos a todas las organizaciones —incluidas aquellas que no están expuestas al ataque Codefinger u otros ataques que empleen un vector de amenaza similar— a implementar y hacer cumplir políticas estrictas de control de acceso y gestión de privilegios, capaces de limitar sustancialmente los daños causados por los ataques de ransomware. Las organizaciones que deseen profundizar en este objetivo crítico están invitadas a descubrir Devolutions PAM, que ofrece una robustez de nivel empresarial en una solución adaptada a las pymes, combinando facilidad de uso y escalabilidad. Más información sobre Devolutions PAM.