Campanhas de Phishing Exploram Configurações Incorretas na AWS

Campanhas de Phishing Exploram Configurações Incorretas na AWS

Autor: Pedro Costa

Os cibercriminosos estão explorando ambientes mal configurados do Amazon Web Services (AWS) para lançar campanhas de phishing, contornando medidas de segurança tradicionais. De acordo com a Palo Alto Networks Unit 42, um grupo de agentes de ameaças chamado TGR-UNK-0011, também vinculado ao JavaGhost, tem utilizado chaves de acesso expostas da AWS para enviar e-mails de phishing por meio dos serviços Amazon Simple Email Service (SES) e WorkMail.

Oportunidade de Exploração Sem Vulnerabilidades na AWS

É importante destacar que esses ataques não exploram vulnerabilidades na AWS, mas sim configurações incorretas nos ambientes das vítimas. Essas falhas expõem chaves de acesso da AWS, permitindo que os invasores utilizem os serviços legítimos da plataforma para disseminar campanhas maliciosas sem precisar hospedar ou financiar sua própria infraestrutura.

Além disso, as mensagens de phishing enviadas a partir desses serviços conseguem contornar as proteções tradicionais de e-mail. Como essas mensagens se originam de uma entidade confiável da qual a organização-alvo já recebeu e-mails anteriormente, há maior probabilidade de que os filtros de segurança não os detectem como maliciosos.

Evolução das Táticas: Técnicas Avançadas de Evasão

Entre 2022 e 2024, o JavaGhost refinou suas táticas, incorporando técnicas avançadas de evasão de defesa. Uma dessas estratégias envolve a ofuscação de logs de identidade dentro do AWS CloudTrail, método previamente explorado pelo infame grupo de hackers Scattered Spider.

Ao comprometer uma conta AWS, os invasores geram credenciais temporárias e URLs de login que lhes concedem acesso ao console da AWS. Isso lhes permite mapear os recursos disponíveis na conta comprometida, ao mesmo tempo em que dificulta a atribuição das atividades maliciosas aos seus verdadeiros autores.

O Cartão de Visita do JavaGhost: Invisibilidade Estratégica

Como parte de sua assinatura de ataque, o JavaGhost deixa um rastro discreto, mas identificável, nos ambientes AWS comprometidos. Segundo a Unit 42, o grupo cria novos grupos de segurança do Amazon Elastic Compute Cloud (EC2) com o nome "Java_Ghost" e a descrição "We Are There But Not Visible" ("Estamos lá, mas não somos visíveis").

Embora esses grupos de segurança geralmente não contenham regras e não estejam vinculados a nenhum recurso específico, sua criação é registrada no AWS CloudTrail como eventos CreateSecurityGroup, fornecendo uma pista valiosa para investigações forenses.

Estratégias de Mitigação para Usuários da AWS

Para proteger seus ambientes contra ameaças como o JavaGhost, as organizações que utilizam a AWS devem adotar medidas de mitigação eficazes, incluindo:

• Auditoria regular das chaves de acesso do IAM, evitando o uso de credenciais de longo prazo.

• Habilitação da autenticação multifator (MFA) para todos os usuários do IAM.

• Aplicação do princípio do menor privilégio nas permissões do IAM.

• Monitoramento contínuo dos logs do AWS CloudTrail para identificar padrões de acesso não autorizados.

• Uso de serviços de segurança da AWS, como AWS GuardDuty e AWS Config, para detectar e corrigir configurações incorretas.

Conclusão

A segurança na nuvem exige vigilância constante, e os ataques do JavaGhost demonstram como agentes de ameaças podem explorar configurações inadequadas para realizar ataques sofisticados de phishing. Ao adotar boas práticas de segurança e monitoramento proativo, as organizações podem minimizar riscos e garantir um ambiente AWS mais seguro contra ameaças emergentes.