MÜNCHEN (IT BOLTWISE) – Sicherheitsforscher haben eine neue Bedrohung für Amazon Web Services (AWS) Umgebungen identifiziert, die von der Gruppe JavaGhost ausgeht. Diese nutzt Misskonfigurationen, um Phishing-Angriffe zu starten.
In der sich ständig weiterentwickelnden Welt der Cybersicherheit haben Bedrohungsakteure eine neue Methode entwickelt, um Amazon Web Services (AWS) Umgebungen auszunutzen. Laut den Erkenntnissen von Palo Alto Networks Unit 42 zielen diese Akteure darauf ab, Phishing-Kampagnen gegen ahnungslose Ziele durchzuführen. Die Aktivitätsgruppe, die unter dem Namen TGR-UNK-0011 verfolgt wird, überschneidet sich mit der bekannten Gruppe JavaGhost, die seit 2019 aktiv ist.
Historisch gesehen konzentrierte sich JavaGhost auf das Verunstalten von Websites, doch im Jahr 2022 änderte die Gruppe ihre Taktik und begann, Phishing-E-Mails zu versenden, um finanziellen Gewinn zu erzielen. Diese Angriffe nutzen keine Schwachstellen in AWS selbst aus, sondern profitieren von Misskonfigurationen in den Umgebungen der Opfer, die ihre AWS-Zugangsschlüssel preisgeben. Dadurch können die Angreifer Amazon Simple Email Service (SES) und WorkMail missbrauchen, um Phishing-Nachrichten zu versenden.
Ein wesentlicher Vorteil dieser Methode besteht darin, dass die Angreifer keine eigene Infrastruktur hosten oder bezahlen müssen, um ihre bösartigen Aktivitäten durchzuführen. Da die Phishing-Nachrichten von einer bekannten Entität stammen, die der Zielorganisation bereits E-Mails gesendet hat, können sie zudem E-Mail-Schutzmaßnahmen umgehen. JavaGhost erlangte Zugang zu langfristigen Zugangsschlüsseln, die mit Identitäts- und Zugriffsmanagement (IAM) Benutzern verbunden sind, und verschaffte sich so initialen Zugang zu einer AWS-Umgebung über die Befehlszeilenschnittstelle (CLI).
Zwischen 2022 und 2024 entwickelte die Gruppe ihre Taktiken weiter und nutzte fortschrittliche Verteidigungsevasionstechniken, um Identitäten in den CloudTrail-Protokollen zu verschleiern. Diese Taktik wurde historisch auch von der Gruppe Scattered Spider ausgenutzt. Sobald der Zugriff auf das AWS-Konto einer Organisation bestätigt ist, generieren die Angreifer temporäre Anmeldeinformationen und eine Anmelde-URL, um den Konsolenzugang zu ermöglichen.
Die Angreifer sind dafür bekannt, SES und WorkMail zu nutzen, um die Phishing-Infrastruktur aufzubauen, neue SES- und WorkMail-Benutzer zu erstellen und neue SMTP-Anmeldeinformationen einzurichten, um E-Mail-Nachrichten zu senden. Während der Angriffe erstellt JavaGhost verschiedene IAM-Benutzer, von denen einige während der Angriffe verwendet werden und andere nicht. Die ungenutzten IAM-Benutzer scheinen als langfristige Persistenzmechanismen zu dienen.
Ein weiteres bemerkenswertes Merkmal der Vorgehensweise der Bedrohungsakteure ist die Erstellung einer neuen IAM-Rolle mit einer Vertrauensrichtlinie, die es ihnen ermöglicht, von einem anderen AWS-Konto aus auf das AWS-Konto der Organisation zuzugreifen. Die Gruppe hinterlässt während ihrer Angriffe eine Art Visitenkarte, indem sie neue Amazon Elastic Cloud Compute (EC2) Sicherheitsgruppen mit dem Namen Java_Ghost erstellt, die die Gruppenbeschreibung ‘We Are There But Not Visible’ tragen.
Diese Sicherheitsgruppen enthalten keine Sicherheitsregeln, und die Gruppe unternimmt in der Regel keinen Versuch, diese Sicherheitsgruppen an Ressourcen anzuhängen. Die Erstellung der Sicherheitsgruppen erscheint in den CloudTrail-Protokollen in den CreateSecurityGroup-Ereignissen. Diese Taktik zeigt, wie geschickt JavaGhost bei der Verschleierung ihrer Aktivitäten vorgeht und wie wichtig es ist, AWS-Umgebungen korrekt zu konfigurieren, um solche Angriffe zu verhindern.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- Service Directory für AI Adult Services erkunden!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
Stellenangebote
AI Engineer (m/f/d) in B2B SaaS AI Startup
(Senior-) Full-Stack-Entwickler (m/w/d) für Produktmodellierung und KI-Services in der Mathematik
Werkstudent (m/w/d) für KI / Chatbot-Entwicklung
(Senior) Consultant (m/w/d) Managementberatung – Schwerpunkt Artificial Intelligence
- Die Zukunft von Mensch und MaschineIm neuen Buch des renommierten Zukunftsforschers und Technologie-Visionärs Ray Kurzweil wird eine faszinierende Vision der kommenden Jahre und Jahrzehnte entworfen – eine Welt, die von KI durchdrungen sein wird
- Künstliche Intelligenz: Expertenwissen gegen Hysterie Der renommierte Gehirnforscher, Psychiater und Bestseller-Autor Manfred Spitzer ist ein ausgewiesener Experte für neuronale Netze, auf denen KI aufbaut
- Obwohl Künstliche Intelligenz (KI) derzeit in aller Munde ist, setzen bislang nur wenige Unternehmen die Technologie wirklich erfolgreich ein
- Wie funktioniert Künstliche Intelligenz (KI) und gibt es Parallelen zum menschlichen Gehirn? Was sind die Gemeinsamkeiten von natürlicher und künstlicher Intelligenz, und was die Unterschiede? Ist das Gehirn nichts anderes als ein biologischer Computer? Was sind Neuronale Netze und wie kann der Begriff Deep Learning einfach erklärt werden?Seit der kognitiven Revolution Mitte des letzten Jahrhunderts sind KI und Hirnforschung eng miteinander verflochten
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "AWS-Misskonfigurationen ermöglichen Phishing-Angriffe durch JavaGhost" für unsere Leser?
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "AWS-Misskonfigurationen ermöglichen Phishing-Angriffe durch JavaGhost" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die deutsche Google-Suchmaschine für eine weitere Themenrecherche: »AWS-Misskonfigurationen ermöglichen Phishing-Angriffe durch JavaGhost« bei Google Deutschland suchen und bei Google News recherchieren!