Steven LafortuneIl 13 gennaio, i ricercatori della piattaforma anti-ransomware Halcyon hanno rivelato che un threat actor soprannominato Codefinger sta sfruttando chiavi AWS compromesse per cifrare i dati contenuti nei bucket S3. Le vittime vengono quindi minacciate di cancellazione permanente dei dati se non viene pagato un riscatto entro una settimana.
Uno sviluppo preoccupante
Gli attacchi ransomware convenzionali cifrano i file, sia localmente che durante il transito. Tuttavia, ciò che rende questo attacco diverso — e particolarmente preoccupante — è che non sfrutta una vulnerabilità di AWS in sé. Utilizza invece una chiave compromessa con permessi di scrittura per cifrare i dati, sfruttando la funzione di cifratura integrata di AWS per bloccare l’accesso alle informazioni critiche.
Una volta cifrati, i dati non possono essere recuperati senza la chiave dell’attaccante. Inoltre, le evidenze nei log sono limitate, poiché AWS CloudTrail registra solo il codice di autenticazione dei messaggi basato su hash (HMAC) della chiave di cifratura, informazione insufficiente per il recupero o l’analisi forense. I ricercatori di Halcyon avvertono che, se questo nuovo metodo si diffonde e diventa comune, potrebbe rappresentare una minaccia enorme e sistemica per le organizzazioni che utilizzano Amazon S3 per l’archiviazione di dati critici.
Come funziona l’attacco
L’attacco si sviluppa in quattro fasi:
- L’attaccante analizza le chiavi AWS divulgate pubblicamente e compromesse, e identifica quelle con permessi per eseguire richieste s3:GetObject e s3:PutObject.
- L’attaccante cifra i file utilizzando la cifratura lato server di AWS con chiavi fornite dal cliente (SSE-C).
- I file vengono contrassegnati per la cancellazione entro sette giorni tramite l’API S3 Object Lifecycle Management.
- Le vittime trovano una nota in ogni directory interessata che richiede il pagamento in bitcoin entro sette giorni. La nota avverte inoltre che qualsiasi modifica ai permessi dell’account o ai file attiverà immediatamente la cancellazione.
Mitigare la minaccia
- Alle organizzazioni esposte si consiglia di adottare immediatamente le seguenti misure di mitigazione della minaccia:
- Utilizzare l’elemento Condition nelle policy Identity and Access Management (IAM) per bloccare l’applicazione di SSE-C ai bucket S3. È possibile configurare successivamente restrizioni limitate ai dati e agli utenti autorizzati.
- Attivare il logging dettagliato per le operazioni S3, in modo da rilevare attività anomale (ad esempio cifratura massiva o modifiche alle policy del ciclo di vita).
- Utilizzare il servizio AWS Security Token Service (AWS STS) per emettere credenziali di sicurezza temporanee. Questo servizio controlla l’accesso alle risorse AWS senza distribuire o incorporare credenziali di sicurezza AWS a lungo termine all’interno di un’applicazione.
- Rivedere regolarmente i permessi di tutte le chiavi AWS e verificare che dispongano dell’accesso minimo necessario.
- Disattivare le chiavi non utilizzate e ruotare frequentemente quelle attive.
- Utilizzare il servizio AWS Secrets Manager per creare, gestire, recuperare e ruotare automaticamente le credenziali non AWS (ad esempio nomi utente e password dei database) durante il loro intero ciclo di vita.
- Contattare direttamente il supporto AWS, che, in risposta all’attacco Codefinger, ha pubblicato un nuovo bollettino nella propria Knowledge Base intitolato “What can I do if I notice unauthorized activity in my AWS account?”
Conclusioni e consigli
Sappiamo tutti che i malintenzionati copiano ciò che funziona, e per questo esiste una valida ragione per preoccuparsi che questo tipo di attacco ransomware diventi presto comune. In effetti, forse la cosa più sorprendente è che ci abbiano messo così tanto tempo a provare questo metodo, dato che SSE-C è disponibile dal 2014.
Questo sviluppo evidenzia l’importanza critica, per le organizzazioni che si affidano ad Amazon S3 per l’archiviazione dei dati, di proteggere adeguatamente le chiavi AWS o i token di accesso. Inoltre, tutti i principali fornitori di servizi cloud offrono funzionalità di cifratura lato client simili, che potrebbero essere sfruttate in modo analogo.
L’insegnamento più ampio e l’implicazione di questo attacco sono un chiaro promemoria che nessuno è completamente al sicuro dagli attacchi ransomware. Per questo motivo, è fondamentale che le organizzazioni adottino misure per ridurre la probabilità di esposizione e minimizzare il rischio. Questo approccio dovrebbe includere:
- Limitare l’accesso alla gestione delle chiavi: limitare chi e cosa può accedere alle chiavi di cifratura.
- Seguire il principio del privilegio minimo: assicurarsi che le chiavi dispongano solo dei permessi minimi necessari per lo scopo previsto.
- Ridurre al minimo la superficie di attacco: rivedere e ridurre regolarmente l’accesso esterno alle risorse cloud.
Inoltre, invitiamo tutte le organizzazioni — incluse quelle non esposte all’attacco Codefinger o ad altri attacchi che utilizzano un vettore di minaccia simile — a implementare e applicare rigorose politiche di controllo degli accessi e di gestione dei privilegi, che possono limitare in modo significativo i danni causati dagli attacchi ransomware. Le organizzazioni che desiderano approfondire questo obiettivo fondamentale sono invitate a scoprire Devolutions PAM, che offre una robustezza di livello enterprise in una soluzione adatta alle PMI, combinando facilità d’uso e scalabilità. Scopri di più su Devolutions PAM.