Mobile-Menu

Für Ransomware ausgenutzt Über 1.200 AWS-Schlüssel geleakt

Quelle: Pressemitteilung 2 min Lesedauer

Anbieter zum Thema

FAST LTA GmbH
Impossible Cloud GmbH

158 Millionen – das ist die Menge an Schlüsseldatensätzen, die Sicherheits­forscher auf einem öffentlichen Server fanden. Einen Teil davon nutzen Kriminelle für Ransomware-Angriffe.

Cyberkriminelle erpressen Nutzer von AWS-S3-Datenbanken. Zugriff auf diese haben sie durch geleakte Zugangschlüssel im Netz erhalten.(Bild: Midjourney / KI-generiert)
Cyberkriminelle erpressen Nutzer von AWS-S3-Datenbanken. Zugriff auf diese haben sie durch geleakte Zugangschlüssel im Netz erhalten.
(Bild: Midjourney / KI-generiert)

Nach Angaben von Cybernews haben Sicherheitsforscher eine Datenbank mit über 1.200 einzigartigen AWS-Zugriffsschlüsseln (Amazon Web Services) gefunden. Diese werden in einer Ransomware-Kampagne verwendet. Die Angreifer erhalten dank der Schlüssel Zugriff auf offene AWS-S3-Buckets, verschlüsseln die Daten und fordern Lösegeld.

Angreifer nutzen AWS-Verschlüsselung

Die Forscher entdeckten einen öffentlich zugänglichen Server mit über 158 Millionen AWS-Geheimschlüsseldatensätzen. Viele der Schlüssel sind doppelte Einträge aus verschiedenen regionalen Endpunkten und Konfigurationen. Die aktiven und funktionalen Schlüssel führten jedoch zu verschlüsselten S3-Buckets, die Lösegeldforderungen enthielten.

Die Akteure missbrauchen die sogenannte „Server-Side Encryption with Customer-Provided Keys“ (SSE-C) von AWS. Durch diese Funktion entsteht beim Verschlüsseln der Daten ein einzigartiger Schlüssel. Zugriff auf die verschlüsselten Daten erhält man dann nur noch über diesen einen Schlüssel.

Die Hacker verschlüsseln also die Daten, generieren wiederum einen Verschlüsselungs­schlüssel und haben somit dauerhaft alleinigen Zugriff auf die Daten. Diese Taktik haben die Cyberanalysten von Halcyon bereits zu Beginn des Jahres entdeckt.

Diese Grafik zeigt, wie die Angreifer die SSE-C-Funktion von AWS ausnutzen, um Daten zu verschlüsseln.(Bild: KI-generiert)
Diese Grafik zeigt, wie die Angreifer die SSE-C-Funktion von AWS ausnutzen, um Daten zu verschlüsseln.
(Bild: KI-generiert)

Die Angreifer legen außerdem S3-Lebenszyklusrichtlinien fest, welche die verschlüsselten Daten innerhalb von sieben Tagen löschen. Das erhöht den Druck auf die Opfer, das Lösegeld zu zahlen. Zudem laufen die betroffenen AWS-Umgebungen weiter. Das bedeutet, einige Opfer sind noch nicht über den Verstoß informiert.

Wie kamen die Hacker an die AWS-Schlüssel?

Wie genau die Bedrohungsakteure die Sammlung von AWS-Schlüsseln anhäuften, ist nicht bekannt. Cybernews erachtet verschiedene Herkünfte als realistisch.

Zum einen sickern AWS-Schlüssel aus öffentlichen Code-Repositories durch, weil geheime Zugangsdaten oft versehentlich auf Plattformen wie GitHub, Bitbucket und ähnlichen veröffentlicht werden. Angreifer nutzen dann Tools wie TruffleHog, Gitleaks und andere, um diese Repositorys nach Zugangsdaten abzuscannen.

Zum anderen passieren Leaks und Verstöße, wenn Entwickler kompromittierte Werkzeuge, Cloud-Dashboards oder Passwortmanager verwenden. Diese Anmeldeinformationen werden dann auf illegalen Marktplätzen angeboten und von Cyberkriminellen gekauft.

Eigene Datenbanken schützen

Cybernews hat den Vorfall an AWS gemeldet. Um die eigene AWS-Umgebungen zu schützen, sollten Nutzer folgende Praktiken befolgen:

  • alle IAM-Zugangsdaten überprüfen, ungenutzte Schlüssel deaktivieren und aktive rotieren,
  • AWS Config und GuardDuty implementieren, um verdächtige Zugriffsmuster zu erkennen,
  • automatisierte Tools verwenden, um öffentliche Repos nach durchgesickerten Geheimnissen zu scannen,
  • kurzlebige Tokens erzwingen und Anmeldeinformationen aus Apps entfernen,
  • Prinzip des geringsten Privilegs für alle IAM-Rollen anwenden,
  • neue oder unbekannte Dateien wie warning.txt in Buckets überwachen,
  • Richtlinien konfigurieren, um die Verwendung von SSE-C zu beschränken,
  • detaillierte Protokollierung aktivieren , um ungewöhnliche Aktivitäten zu erkennen.

(ID:50404021)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Data-Storage und -Management

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte