Phishing Kampanje Iskorištavaju Loše Konfigurirane AWS Okruženje
Stručnjaci upozoravaju na povećani broj iskorištavanja loše konfiguriranih Amazon Web Services (AWS) okruženja za pokretanje phishing kampanja koje uspješno zaobilaze email filtre, direktno dospijevajući u inboxe korisnika. Istraživači cybe sigurnosti iz Palo Alto Networks’ Unit 42 nedavno su otkrili grupu označenu kao TGR-UNK-0011 koja je uključena u ovaj oblik napada.
Kratka Povijest Grupa TGR-UNK-0011 i JavaGhost
Ova maliciozna grupa aktivna je od 2019. godine, no prvo su se fokusirali na defaciranje web stranica. Tek 2022. su prebacili svoje aktivnosti na phishing, tražeći financijsku dobit. Kako bi pokrenuli napade, članovi grupe zarađuju AWS pristupne ključeve korisnika. Ovi ključevi omogućuju im pristup Amazon Simple Email Service (SES) i WorkMail servisima.
Tehnike Napada
- Pohvalni Pristup: JavaGhost je stekao dugoročne pristupne ključeve povezane s identitetom i upravljanjem pristupom (IAM) korisnicima, omogućujući im inicijalni pristup AWS okruženju preko komandne linije (CLI).
- Evolucija Taktike: Između 2022. i 2024. godine, grupa je unaprijedila svoje taktike koristeći kompleksnije tehnike izbjegavanja obrane koje pokušavaju prikriti identitete u CloudTrail logovima.
- Kreiranje Privremenih Računa: Nakon potvrde pristupa, napadači kreiraju privremeni račun i pristupaju konzoli, postavljajući phishing infrastrukturu putem SES i WorkMail servisa.
Istraživači su napomenuli: “Tijekom napada, JavaGhost stvara razne IAM korisnike, od kojih neke koriste prilikom napada, dok druge nikada ne iskoriste.” Budući da bi emailovi dolazili od poznatog i legitimnog entiteta, uspijevali bi zaobići zaštitu emaila i doći do inboxa žrtava, zvučeći uvjerljivo, s obzirom na to da su se dvije strane vjerojatno već komunikovale u prošlosti.
Zaključak
Ovaj oblik cyber napada pokazuje ozbiljnu prijetnju kako korisnicima, tako i organizacijama koje koriste AWS. Važno je redovito provjeravati konfiguracije vašeg AWS okruženja i implementirati sigurnosne mjere kako bi se zaštitili od ovih sofisticiranih phishing napada. Budućnost cyber sigurnosti zahtijeva naše aktivno sudjelovanje u prepoznavanju i zaštiti od ovakvih prijetnji.
