Sie sind hier: Startseite » IT Security » Cyber-Angriffe & Sicherheitslecks

15.000 Anmeldedaten für Cloud-Dienste

"Emeraldwhale": 15.000 Cloud-Zugangsdaten gestohlen bei Operation, die auf offengelegte Git-Konfigurationsdateien abzielt
Die gestohlenen Anmeldeinformationen gehören zu Cloud Service Providern (CSP), E-Mail-Providern und anderen Diensten - Phishing und Spam scheinen das Hauptziel des Diebstahls von Anmeldeinformationen zu sein

Das Sysdig Threat Research Team (TRT) hat kürzlich eine globale Operation namens "Emeraldwhale" aufgedeckt, die auf ungeschützte Git-Konfigurationen abzielte und bei der mehr als 15.000 Anmeldedaten für Cloud-Dienste gestohlen wurden. Bei dieser Kampagne wurden mehrere Tools verwendet, die verschieden falsch konfigurierte Webdienste missbrauchten, wodurch die Angreifer Anmeldeinformationen stehlen, private Repositorys klonen und Cloud-Anmeldeinformationen aus ihren Repositorys extrahieren, und Cloud-Anmeldeinformationen aus dem Quellcode extrahieren konnten. Während der Operation wurden Zugangsdaten für mehr als 10.000 private Repositories gesammelt. Die gestohlenen Daten wurden in einem S3-Bucket eines früheren Opfers gespeichert.

Die gestohlenen Anmeldeinformationen gehören zu Cloud Service Providern (CSP), E-Mail-Providern und anderen Diensten. Phishing und Spam scheinen das Hauptziel des Diebstahls von Anmeldeinformationen zu sein. Die Anmeldeinformationen selbst können Hunderte von Dollar pro Konto wert sein. Die Accounts selbst sind nicht die einzige Möglichkeit für "Emeraldwhale", Geld zu verdienen; die von ihnen erstellten Ziellisten können auf verschiedenen Marktplätzen verkauft werden.

Dieser Angriff zeigt, dass Geheimhaltung allein nicht ausreicht, um eine Umgebung zu sichern.Es gibt einfach zu viele Stellen, an denen Zugangsdaten nach außen gelangen können.

Erste Entdeckung in S3
Bei der Überwachung des Sysdig TRT Cloud Honeypots haben die Experten einen ungewöhnlichen ListBuckets-Aufruf unter Verwendung eines kompromittierten Accounts beobachtet. Der S3 Bucket, s3simplisitter, auf den verwiesen wurde, gehörte nicht zu dem verwendeten Account. Stattdessen gehörte er zu einem unbekannten Account und war öffentlich zugänglich. Bei der Untersuchung dieses Buckets entdeckte das Team bösartige Tools und mehr als ein Terabyte an Daten, einschließlich kompromittierter Anmeldeinformationen und Logdaten. Die Analyse der bösartigen Tools ergab einen mehrstufigen Angriff, einschließlich Web-Scraping von Git-Konfigurationsdateien, Laravel .env-Dateien und Web-Rohdaten.

Sysig kontaktierte umgehend AWS, um den Bucket zu melden. Er wurde daraufhin entfernt.

Aktuelle Trends

Warum werden Angriffe zum Sammeln von Anmeldeinformationen so häufig?
Um diese Frage zu beantworten, hat Sysdig in den letzten Monaten eine Vielzahl von Angriffen oder automatischen Scans nach ungeschützten Dateien aufgrund von Fehlkonfigurationen beobachtet und festgestellt: Die Angreifer erreichen ihr Ziel, Zugangsdaten zu stehlen oder zu erhalten, ohne großen Aufwand.

>> Minimaler Aufwand: Alles kann automatisiert werden und die Angreifer führen ihre Tools auf temporären Systemen aus, während sie die Ergebnisse an einem anderen Ort speichern. Es wird sehr schwierig, herauszufinden, wer hinter dieser Art von Aktivitäten steckt, was das wahrgenommene Risiko für den Angreifer verringert.
>> Kostenlose Werkzeuge: Auf GitHub lassen sich leicht Tools finden, die bei allen notwendigen Schritten helfen. Es gibt auch einen aktiven Markt für Kurse, die potenzielle Angreifer kaufen können.
>> Florierendes Geschäft: Für Angreifer bedeutet ein solches Unterfangen ein schnelles Einkommen. Sie bestätigen gültige Schlüssel und verkaufen sie in Bündeln oder über Online-Shops, Websites und Telegram-Bots, die keine Interaktion erfordern.

Effiziente Beutezüge dank trügerischer Sicherheit
"Emeraldwhale" ist nicht die raffinierteste Operation, aber es gelang ihr, mehr als 15.000 Anmeldedaten zu sammeln. Sie basierte ausschließlich auf Fehlkonfigurationen und nicht auf Sicherheitslücken. Was anders war, war das Ziel: offene Git-Konfigurationsdateien. Diese Dateien und die darin enthaltenen Anmeldedaten bieten Zugang zu privaten Repositories, auf die normalerweise nur schwer zugegriffen werden kann. In einem privaten Repository können Entwickler dazu neigen, Geheimnisse einzuschließen, weil sie ein falsches Gefühl von Sicherheit vermittelt bekommen.

Der Untergrundmarkt für Zugangsdaten boomt, insbesondere für Cloud-Dienste. Dieser Angriff zeigt, dass Secret Management allein nicht ausreicht, um eine Umgebung sicher zu machen. Es gibt einfach zu viele Stellen, an denen Zugangsdaten nach außen gelangen können. Die Überwachung des Verhaltens von Identitäten, die mit Anmeldeinformationen verknüpft sind, wird zu einer Voraussetzung für den Schutz vor diesen Bedrohungen.

Exposure Management und Schwachstellenscanner können bei der Erkennung von Problemen helfen, z. B. wenn Git-Konfigurationsdateien einsehbar sind. Es ist wichtig, diese Scans sowohl aus interner als auch aus externer Perspektive durchzuführen, um einen vollständigen Überblick darüber zu erhalten, was Angreifer sehen können. (Sysdig: ra)

eingetragen: 10.12.24
Newsletterlauf: 18.02.25

Sysdig: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Cyber-Angriffe

Signatur ist nicht gleich Signatur
Geraten digitale Prozesse immer wieder ins Stocken, weil etwas unterzeichnet werden muss? Dann wird es Zeit, eine moderne Signaturlösung in die eigenen Abläufe zu integrieren. Bereits seit den 1970er Jahren wird immer wieder das papierlose Büro prognostiziert. Lange haben sich diese Prognosen eher als Papiertiger erwiesen, doch heute sind wir näher an der Umsetzung als je zuvor. In Zeiten von Tablets, 5G-Konnektivität und KI-Assistenten sind Ausdrucke für die meisten Büroangestellten eher zu einer Last geworden. Ganz verschwunden sind sie dennoch nicht und dafür sorgt nicht selten das Nadelöhr Unterschrift. Oft brechen an diesem Punkt Prozesse ab, die ansonsten vollständig digital ablaufen.
Identity Lifecycle Management
Wirtschaftliche Veränderungen wirken sich auf nahezu alle Unternehmensbereiche aus. Immer betroffen ist die Belegschaft: Prosperiert ein Unternehmen, stellt es Leute ein, in Zeiten der Rezession versucht es durch Personalentlassungen Kosten einzusparen. In jedem Konjunkturzyklus, sei es Expansion, Rezession oder Erholung, entstehen durch personelle Fluktuation spezifische Herausforderungen für die Verwaltung von Mitarbeiter-, Kunden- und Partner-Identitäten - und somit auch für die IT-Sicherheit. Denn nicht mehr benötigten Nutzerkonten müssen Zugriffsrechte entzogen, neu angelegten solche gewährt werden und das alles in Einklang mit Unternehmens- und Compliance-Richtlinien. Den Lebenszyklus einer digitalen Identität zu verwalten, wird als Identity Lifecycle Management bezeichnet.
Datenklau als primäres Ziel
Das Damoklesschwert Ransomware ist nicht neu, aber es schlägt immer etwas anders aus. Große Akteure wie LockBit und ALPHV/BlackCat sind scheinbar passé, doch in entstehende Lücken drängen neue, noch nicht etablierte Gruppen. Die Ransomware-as-a-Service (RaaS)-Gruppen revidieren zudem ihre interne Arbeitsaufteilung und -organisation. Selbst Staaten wie Russland und Nordkorea entdecken Ransomware als Einnahmequelle.

Gut organisierte Gruppe mit klarer Arbeitsteilung Neuartige Exploits und maßgeschneiderte Malware