Tim keamanan AWS GuardDuty Amazon memperingatkan kampanye penambangan kripto yang sedang berlangsung yang menargetkan Elastic Compute Cloud (EC2) dan Elastic Container Service (ECS) menggunakan kredensial yang disusupi untuk Identity and Access Management (IAM).
Operasi tersebut dimulai pada tanggal 2 November dan menggunakan mekanisme persistensi yang memperluas operasi penambangan dan menghambat upaya tanggap insiden.
Pelaku ancaman menggunakan image Docker Hub yang dibuat pada akhir Oktober dan memiliki lebih dari 100.000 penarikan.
Layanan Amazon EC2 memungkinkan pengguna menjalankan mesin virtual di AWS, sementara ECS memungkinkan menjalankan aplikasi dalam container (misalnya, aplikasi Docker) di platform cloud.
Menanam penambang kripto pada instans ini memungkinkan pelaku ancaman mendapatkan keuntungan finansial dengan mengorbankan pelanggan AWS dan Amazon, yang harus menanggung beban kehabisan sumber daya komputasi.
Amazon mengatakan bahwa penyerang tidak memanfaatkan kerentanan tetapi menggunakan kredensial yang valid di akun pelanggan.
Operasi penambangan kripto
AWS mengatakan dalam laporan yang dirilis hari ini bahwa penyerang memulai penambangan kripto dalam waktu 10 menit setelah akses awal, setelah pengintaian terhadap kuota layanan EC2 dan izin IAM.
Hal ini dimungkinkan dengan mendaftarkan ketentuan tugas yang menunjuk ke gambar Docker Hub yenik65958/rahasiadibuat pada tanggal 29 Oktober, yang menyertakan cryptominer SBRMiner-MULTI dan skrip startup untuk meluncurkannya secara otomatis saat container dimulai.
Setiap tugas dikonfigurasikan dengan 16.384 unit CPU dan memori 32 GB, dan jumlah tugas ECS Fargate yang diinginkan ditetapkan ke 10.
Sumber: Amazon
Di Amazon EC2, penyerang membuat dua templat peluncuran dengan skrip startup yang secara otomatis memulai penambangan kripto, bersama dengan 14 grup penskalaan otomatis yang dikonfigurasi untuk men-deploy setidaknya 20 instans masing-masing, dengan kapasitas maksimum hingga 999 mesin.
Metode ketekunan baru
Setelah mesin berjalan, penyerang mengaktifkan pengaturan yang mencegah administrator menghentikan mesin tersebut dari jarak jauh, sehingga memaksa responden untuk secara eksplisit menonaktifkan perlindungan sebelum mematikannya. Hal ini kemungkinan dilakukan untuk menunda respons dan memaksimalkan keuntungan penambangan kripto.
“Teknik menarik yang diamati dalam kampanye ini adalah penggunaan ancaman oleh pelaku UbahInstanceAttribute di semua instans EC2 yang diluncurkan untuk menonaktifkan penghentian API,” Amazon menjelaskan.
“Meskipun perlindungan penghentian instans mencegah penghentian instans secara tidak sengaja, hal ini menambah pertimbangan tambahan untuk kemampuan respons insiden dan dapat mengganggu kontrol remediasi otomatis,” kata perusahaan tersebut.
Setelah mengidentifikasi kampanye, Amazon memperingatkan pelanggan yang terkena dampak tentang aktivitas penambangan kripto dan perlunya merotasi kredensial IAM yang disusupi.
Seorang juru bicara Amazon mengatakan kepada BleepingComputer bahwa: “AWS secara proaktif mengidentifikasi kampanye yang sedang berlangsung ini dan dengan cepat memperingatkan pelanggan akan ancaman tersebut.”
Selain itu, image Docker Hub yang berbahaya telah dihapus dari platform, namun Amazon memperingatkan bahwa pelaku ancaman dapat menyebarkan image serupa dengan nama dan akun penerbit berbeda.
Hancurkan silo IAM seperti Bitpanda, KnowBe4, dan PathAI
IAM yang rusak bukan hanya masalah TI – dampaknya akan berdampak pada seluruh bisnis Anda.
Panduan praktis ini membahas mengapa praktik IAM tradisional gagal memenuhi tuntutan modern, contoh seperti apa IAM yang “baik”, dan daftar periksa sederhana untuk membangun strategi yang terukur.
