
Hacker greifen AWS-S3-Buckets an, verschlüsseln Daten mit eigenen Schlüsseln und fordern Lösegeld in Bitcoin. Sicherheitsforscher warnen vor dieser beispiellosen Kampagne und raten dringend, Zugangsschlüssel zu sichern und S3-Buckets zu überprüfen.
Eine massive Ransomware-Kampagne hat Amazon Web Services (AWS) ins Visier genommen, so die Plattform Cybernews.com. Hacker haben über 1.200 einzigartige AWS-Zugangsschlüssel gesammelt und nutzen diese, um Daten in S3-Buckets zu verschlüsseln. Sie hinterlassen Lösegeldforderungen in Dateien namens „warning.txt“, die Nutzer auffordern, etwa 0,3 BTC (ca. 25.000 USD) zu zahlen.
Verschlüsselung bleibt teils unbemerkt
Die Angreifer verwenden die serverseitige Verschlüsselung von AWS, um unauffällig zu bleiben. Sie generieren eigene AES-256-Verschlüsselungsschlüssel die Daten sperren, ohne dass Nutzer es merken. Opfer erhalten keine Warnungen oder Berichte über die Kompromittierung und die Datenstruktur bleibt intakt. Einige Opfer sind sich der Angriffe noch nicht bewusst, was die Gefahr weiter erhöht.
Sicherheitsforscher von SecurityDiscovery.com betonen, dass dies ein seltenes und möglicherweise beispielloses Beispiel für eine koordinierte Erpressungskampagne ist, die AWS-Anmeldeinformationen ausnutzt. Die Kampagne ist stark automatisiert und hinterlässt für jedes Opfer eine einzigartige Bitcoin-Adresse für Zahlungen. Die Angreifer nutzen AWS gegen seine eigenen Kunden, indem sie die serverseitige Verschlüsselung mit benutzerdefinierten Schlüsseln (SSE-C) missbrauchen.
Jetzt Newsletter abonnieren
Einmal im Monat die besten News von B2B CYBER SECURITY lesenDruck: Lebenszyklusrichtlinie wird auf 7 Tage gesetzt
Das bedeutet, dass die Angreifer ihre eigenen Verschlüsselungsschlüssel generieren, die dann verwendet werden, um die Daten zu sperren. Dies ermöglicht eine „stille Kompromittierung“, bei der keine Warnungen oder Berichte ausgegeben werden und keine Löschprotokolle vorhanden sind. Die Datenstruktur bleibt intakt, und die Angreifer exfiltrieren die Daten nicht einmal für eine doppelte Erpressung. In einigen Fällen setzen sie Lebenszyklusrichtlinien für S3-Buckets, um die verschlüsselten Daten innerhalb von sieben Tagen zu löschen, was den Druck auf die Opfer erhöht, das Lösegeld zu zahlen. Die Sicherheitsforscher raten dringend dazu, deine AWS-S3-Buckets zu überprüfen und Zugangsschlüssel zu sichern.
Auch die Forscher von Halcyon RISE-Team hat diese besorgniserregende neue Ransomware-Kampagne identifiziert, die auf Amazon S3-Buckets abzielt und bietet einen guten Blog-Artikel dazu an.
Mehr bei Halcyon.ai/