Eine aktuelle Ransomware-Kampagne zielt auf Datenhalden in Amazon-S3-Buckets. Die Angreifer nutzen die "Server-Side Encryption with Customer Provided Keys" (SSE-C), also serverseitige Verschlüsselung mit von Kunden angegebenen Schlüsseln, von Amazons AWS.
Anzeige
Zur Entschlüsselung der mit AES-256-Keys verschlüsselten Daten verlangen die Cyberkriminellen Lösegeld, schreibt Halcyon in einer Analyse. Besonders auffällig: Die Angreifer missbrauchen keine Schwachstellen in AWS, sondern nutzen reguläre Amazon-AWS-Zugangsdaten. Die Taktik stelle den IT-Forschern zufolge eine signifikante Evolution der Ransomware-Fähigkeiten dar, da es keine bekannte Methode zur Wiederherstellung der Daten gebe außer der Zahlung des Lösegelds.
Sie heben außerdem hervor, dass die Täter native Ressourcen für ihren Angriff missbrauchen. Mit kompromittierten AWS-Keys verschlüsseln sie S3-Buckets mittels SSE-C, was die Wiederherstellung ohne den erstellten Schlüssel unmöglich mache. Der Datenverlust sei irreversibel, da AWS Cloudtrail lediglich eine HMAC der Verschlüsselungskeys protokolliere, was für eine Wiederherstellung oder forensische Analyse nicht ausreiche. Zudem bauen die Cybergangster Druck auf, indem die Dateien zur Löschung innerhalb von sieben Tagen markiert werden. In den Erpressernotizen mit den Zahlungsdetails warnen die Täter außerdem davor, die Zugangsberechtigungen zu ändern.
Kaspersky hat im Rahmen dieser Ransomware-Kampagne im Darknet gewühlt und stieß dabei seit Jahresbeginn auf mehr als 100 einzigartige, kompromittierte Kontoinformationen für Amazon AWS. Insgesamt seien im Darknet große Mengen an unterschiedlichen Zugängen zu Amazons AWS-Cloud zu finden, teilt der russische Antivirenhersteller mit: mehr als 18.000 Konten seien mit der URL "console.aws.amazon.com" verknüpft, über 126.000 mit "portal.aws.amazon.com" und mehr als 245.000, die zu "signin.aws.amazon.com" gehören sollen. Die Virenforscher ergänzen, dass diese Informationen oft von Infostealern oder Datastealern stammen würden, die solche Daten sammeln. Am häufigsten seien dies der Lumma-Stealer und Redline.
Halcyon empfiehlt zur Härtung der eigenen AWS-Umgebungen, die SSE-C-Nutzung mittels Richtlinien einzuschränken. Außerdem sollten Organisationen ihre AWS-Keys regelmäßig prüfen, etwa daraufhin, dass sie die niedrigst nötigen Rechte konfiguriert haben. Nicht verwendete Schlüssel sollten gelöscht, die aktiven häufig rotiert werden. Das Aktivieren der erweiterten Protokollierung hilft, ungewöhnliche Aktivitäten aufzudecken, wie Massenverschlüsselung oder Änderungen an Lebenszeit-Richtlinien. Der AWS-Support helfe ebenfalls beim Aufspüren potenzieller Schwachstellen.
(
Kommentare