Emeraldwhale: 15.000 Cloud-Zugangsdaten gestohlen

Das Sysdig Threat Research Team (TRT) hat kürzlich eine globale Operation namens Emeraldwhale aufgedeckt, die auf ungeschützte Git-Konfigurationen abzielte und bei der mehr als 15.000 Anmeldedaten für Cloud-Dienste gestohlen wurden.

Bei dieser Kampagne wurden mehrere Tools verwendet, die verschieden falsch konfigurierte Webdienste missbrauchten, wodurch die Angreifer Anmeldeinformationen stehlen, private Repositorys klonen und Cloud-Anmeldeinformationen aus ihren Repositorys extrahieren, und Cloud-Anmeldeinformationen aus dem Quellcode extrahieren konnten. Während der Operation wurden Zugangsdaten für mehr als 10.000 private Repositories gesammelt. Die gestohlenen Daten wurden in einem S3-Bucket eines früheren Opfers gespeichert.

Die gestohlenen Anmeldeinformationen gehören zu Cloud Service Providern (CSP), E-Mail-Providern und anderen Diensten. Phishing und SPAM scheinen das Hauptziel des Diebstahls von Anmeldeinformationen zu sein. Die Anmeldeinformationen selbst können Hunderte von Dollar pro Konto wert sein. Die Accounts selbst sind nicht die einzige Möglichkeit für Emeraldwhale, Geld zu verdienen; die von ihnen erstellten Ziellisten können auf verschiedenen Marktplätzen verkauft werden.

Dieser Angriff zeigt, dass Geheimhaltung allein nicht ausreicht, um eine Umgebung zu sichern.Es gibt einfach zu viele Stellen, an denen Zugangsdaten nach außen gelangen können.

Erste Entdeckung in S3

Bei der Überwachung des Sysdig TRT Cloud Honeypots haben die Experten einen ungewöhnlichen ListBuckets-Aufruf unter Verwendung eines kompromittierten Accounts beobachtet. Der S3 Bucket, s3simplisitter, auf den verwiesen wurde, gehörte nicht zu dem verwendeten Account. Stattdessen gehörte er zu einem unbekannten Account und war öffentlich zugänglich. Bei der Untersuchung dieses Buckets entdeckte das Team bösartige Tools und mehr als ein Terabyte an Daten, einschließlich kompromittierter Anmeldeinformationen und Logdaten. Die Analyse der bösartigen Tools ergab einen mehrstufigen Angriff, einschließlich Web-Scraping von Git-Konfigurationsdateien, Laravel .env-Dateien und Web-Rohdaten.

Sysig kontaktierte umgehend AWS, um den Bucket zu melden. Er wurde daraufhin entfernt.

Aktuelle Trends

Warum werden Angriffe zum Sammeln von Anmeldeinformationen so häufig?

Um diese Frage zu beantworten, hat Sysdig in den letzten Monaten eine Vielzahl von Angriffen oder automatischen Scans nach ungeschützten Dateien aufgrund von Fehlkonfigurationen beobachtet und festgestellt: Die Angreifer erreichen ihr Ziel, Zugangsdaten zu stehlen oder zu erhalten, ohne großen Aufwand.

• Minimaler Aufwand: Alles kann automatisiert werden und die Angreifer führen ihre Tools auf temporären Systemen aus, während sie die Ergebnisse an einem anderen Ort speichern. Es wird sehr schwierig, herauszufinden, wer hinter dieser Art von Aktivitäten steckt, was das wahrgenommene Risiko für den Angreifer verringert.
• Kostenlose Werkzeuge: Auf GitHub lassen sich leicht Tools finden, die bei allen notwendigen Schritten helfen. Es gibt auch einen aktiven Markt für Kurse, die potenzielle Angreifer kaufen können.
• Florierendes Geschäft: Für Angreifer bedeutet ein solches Unterfangen ein schnelles Einkommen. Sie bestätigen gültige Schlüssel und verkaufen sie in Bündeln oder über Online-Shops, Websites und Telegram-Bots, die keine Interaktion erfordern.

Effiziente Beutezüge dank trügerischer Sicherheit

Emeraldwhale ist nicht die raffinierteste Operation, aber es gelang ihr, mehr als 15.000 Anmeldedaten zu sammeln. Sie basierte ausschließlich auf Fehlkonfigurationen und nicht auf Sicherheitslücken. Was anders war, war das Ziel: offene Git-Konfigurationsdateien. Diese Dateien und die darin enthaltenen Anmeldedaten bieten Zugang zu privaten Repositories, auf die normalerweise nur schwer zugegriffen werden kann. In einem privaten Repository können Entwickler dazu neigen, Geheimnisse einzuschließen, weil sie ein falsches Gefühl von Sicherheit vermittelt bekommen.

Der Untergrundmarkt für Zugangsdaten boomt, insbesondere für Cloud-Dienste. Dieser Angriff zeigt, dass Secret Management allein nicht ausreicht, um eine Umgebung sicher zu machen. Es gibt einfach zu viele Stellen, an denen Zugangsdaten nach außen gelangen können. Die Überwachung des Verhaltens von Identitäten, die mit Anmeldeinformationen verknüpft sind, wird zu einer Voraussetzung für den Schutz vor diesen Bedrohungen.

Exposure Management und Schwachstellenscanner können bei der Erkennung von Problemen helfen, z. B. wenn Git-Konfigurationsdateien einsehbar sind. Es ist wichtig, diese Scans sowohl aus interner als auch aus externer Perspektive durchzuführen, um einen vollständigen Überblick darüber zu erhalten, was Angreifer sehen können.

(pd/Sysdig)