Cómo Kubernetes Cryptomining se convirtió en un atraco de datos en la nube de AWS

Un contenedor vulnerable de Kubernetes y permisos sueltos permitieron a un atacante convertir un ataque de cryptojacking oportunista en una intrusión de gran alcance dirigida a la propiedad intelectual y los datos confidenciales.

El ataque, que la empresa de seguridad en la nube Sysdig denominó «SCARLETEEL», comenzó cuando un actor de amenazas explotó un clúster de Kubernetes, usó un servicio interno para obtener credenciales temporales y luego usó esas credenciales para conectarse a otros servicios de Elastic Compute Cloud (EC2) que tenían sido desplegado en la infraestructura de la empresa de destino. Al final, la compañía, que no fue nombrada en el informe del incidente publicado hoy, restringió elegantemente el alcance de los permisos sobre la identidad robada, repeliendo el ataque.

Sin embargo, el incidente subraya la necesidad de que las empresas sean cautelosas. al configurar el controlador que permiten que los recursos de la nube interactúen entre sí, dice Michael Clark, director de investigación de amenazas en Sysdig.

«Tener roles de EC2 con acceso a otros recursos puede ser común, aunque generalmente está estrictamente limitado para evitar incidentes como este», dice. «Se trata más de comprender cómo las configuraciones incorrectas como esta pueden combinarse con otros problemas, lo que resulta en una brecha mayor».

El sofisticado ataque cibernético también muestra que los atacantes se dirigen cada vez más a las infraestructuras de la nube. Históricamente, los actores de amenazas se han centrado en interacciones rudimentarias con servicios en la nube, como B. la implementación de software de cryptojacking, pero a medida que entienden las vulnerabilidades que las empresas están introduciendo en sus propios entornos, los ataques orientados a la nube son cada vez más populares.

De hecho, los casos observados de explotación de la nube casi se han duplicado en 2022, mientras que la cantidad de incidentes que involucran a actores de amenazas que interactúan con los recursos de la nube casi se ha triplicado, según la empresa de servicios de ciberseguridad CrowdStrike. según su último «Informe de amenazas globales» anual publicado el 28 de febrero.

«Les tomó un tiempo descubrir cómo trabajar en la nube», dijo Adam Meyers, director de inteligencia de CrowdStrike. «Las empresas realmente necesitan analizar bien la seguridad de su nube porque la nube está lista para funcionar, pero a medida que las personas comienzan a trabajar con ella y la modifican, se vuelve menos segura».

De pequeñas a grandes brechas de seguridad

El atacante comprometió la infraestructura de la nube del objetivo a través de un servicio vulnerable expuesto a Internet que permitió el acceso una cápsula de Kubernetes, una tecnología para gestionar y desplegar aplicaciones en contenedores. Una vez dentro del clúster, el atacante usó el acceso para implementar contenedores de software de cryptojacking, esencialmente robando poder de procesamiento de la infraestructura de la nube de la víctima para extraer criptomonedas.

«Esta es una práctica común en las amenazas de contenedores automatizados», dijeron los investigadores de Sysdig. declarado en su análisisy agregó que los atacantes «aprovecharon este rol para realizar enumeraciones en la nube, buscar información confidencial y robar software propietario».

Los atacantes sabían cómo moverse a través de la nube de AWS, incluidos los servicios de EC2, conectarse a funciones de Lambda sin servidor y utilizar el servicio de CI/CD (Integración continua e implementación continua) conocido como Terraform. Dado que Terraform a menudo almacena el estado de su canalización en cubos S3 (Simple Storage Service), el atacante pudo recuperar estos archivos y encontró al menos otra credencial adicional en los datos de texto sin formato.

Sin embargo, la segunda identidad tenía permisos limitados y detuvo el movimiento lateral del atacante, explicó Sysdig en su análisis. Mientras tanto, los intentos del atacante de enumerar los usuarios y la infraestructura de la nube condujeron al descubrimiento, dice Clark.

«Fue interceptado por una cantidad inusual de acciones de AWS, particularmente por roles que no deberían realizar este tipo de solicitudes», dice. “Hay un aspecto de inteligencia de amenazas [too] — Algunas de las direcciones IP involucradas han sido vinculadas a actividades maliciosas en el pasado».

Configuración incorrecta, sin falta de MFA

¿Las secuelas del ataque? Por un lado, las empresas deben asegurarse de tener una buena visibilidad de las operaciones y la telemetría de su infraestructura en la nube. Además, restringir el acceso, incluso otorgar acceso de solo lectura a recursos específicos de la nube, puede marcar la diferencia a la hora de detener un ataque en curso. Según Sysdig, cuantos más atacantes ataquen los recursos con identidades robadas, mayores serán las posibilidades de descubrimiento.

«Primero, la confianza cero y el principio de privilegio mínimo son importantes, y al implementarlos se reduce la probabilidad de compromiso», escriben los investigadores. «En segundo lugar, las detecciones y alertas sólidas deberían ayudarlo a detectar estas actividades antes de que un atacante se profundice demasiado».

Clark también señala esto Autenticación multifactor (MFA) Es poco probable que las tecnologías marquen una gran diferencia cuando se trata de mitigar los ataques a la infraestructura de la nube, ya que la mayoría de las identidades de la nube que explotan los atacantes son identidades de máquinas, por lo que es necesario implementar defensas alternativas.

«MFA podría haber sido útil para las otras cuentas involucradas para evitar su acceso», dice Clark, «pero estas eran cuentas internas creadas con fines de automatización y no en las que se esperaba que estuviera una persona».