AWS-IAM-Anmeldedaten gestohlen
Unit-42-Team mit weiterem Forschungsbericht
Das Unit-42-Team von Palo Alto Network hat Details über eine aktive Kampagne veröffentlicht, die AWS-IAM-Anmeldedaten aus GitHub-Repositories stiehlt.
Unit 42 bezeichnet diese Kampagne als EleKtra-Leak. Es sei nicht das erste Mal in diesem Jahr, dass Bedrohungsakteure GitHub-Repositories zu ihrem eigenen Vorteil nutzen. In zunehmendem Maße hätten Angreifer diesen Weg als ersten Angriffsvektor genutzt.
Eine leistungsstarke Funktion von GitHub ist die Möglichkeit, alle öffentlichen Repositories aufzulisten, sodass Entwickler – und leider auch Angreifer – neue Repositories in Echtzeit verfolgen können.
Die Erkenntnisse von Unit 42:
- Die Kampagne nutzt automatisierte Tools, um exponierte Anmeldeinformationen für AWS Identity and Access Management (IAM) in öffentlichen GitHub-Repositories zu identifizieren – innerhalb von fünf Minuten nach ihrer ersten Veröffentlichung auf GitHub.
- Der Bedrohungsakteur erstellte mehrere AWS-Elastic-Compute-Instanzen (EC2).
- Die AWS-EC2-Instanzen wurden verwendet, um seit mindestens zwei Jahren weitreichende und langanhaltende Kryptojacking-Operationen durchzuführen – und sind auch heute noch aktiv.
- Unit 42 fand 474 einzigartige Miner, die zwischen dem 30. August und dem 6. Oktober 2023 potenziell von Akteuren kontrollierte Amazon-EC2-Instanzen waren.
- Die Gruppe schürfte Monero, eine Kryptowährung, die Datenschutzkontrollen enthält – was verhindert, die Wallet und damit den Geldverdienst der Gruppe zu verfolgen.
