Peretas menargetkan bug SSRF di situs yang diselenggarakan EC2 untuk mencuri kredensial AWS

Kampanye yang ditargetkan yang dieksploitasi kerentanan Sisi Server Request Side (SSRF) di situs web yang di-host pada instance AWS EC2 untuk mengekstrak metadata EC2, yang dapat mencakup kredensial Manajemen Identitas dan Manajemen Akses (IAM) dari titik akhir IMDSV1.

Mengambil kredensial IAM memungkinkan penyerang untuk meningkatkan hak istimewa mereka dan mengakses ember S3 atau mengendalikan layanan AWS lainnya, berpotensi mengarah pada paparan data sensitif, manipulasi, dan gangguan layanan.

Kampanye ditemukan oleh Peneliti F5 LabsWHO melaporkan bahwa aktivitas jahat memuncak antara 13 dan 25 Maret 2025. Pola lalu lintas dan perilaku sangat menyarankan bahwa itu dilakukan oleh aktor ancaman tunggal.

Tinjauan Kampanye

Masalah SSRF adalah kelemahan web yang memungkinkan penyerang untuk “menipu” server agar membuat permintaan HTTP ke sumber daya internal atas nama mereka, yang biasanya tidak dapat diakses oleh penyerang.

Dalam kampanye yang diamati oleh F5, para penyerang menemukan situs web yang di -host di EC2 Dengan kekurangan SSRF, memungkinkan mereka untuk menanyakan URL metadata EC2 internal dan menerima data sensitif.

EC2 Metadata adalah layanan di Amazon EC2 (Elastic Compute Cloud) yang menyediakan informasi tentang mesin virtual yang berjalan di AWS. Informasi ini dapat mencakup detail konfigurasi, pengaturan jaringan, dan berpotensi, kredensial keamanan.

Layanan metadata ini hanya dapat diakses oleh mesin virtual dengan menghubungkan ke URL khusus pada alamat IP internal, seperti http://169.254.169.254/latest/meta-data/.

Probe SSRF berbahaya pertama dicatat pada 13 Maret, tetapi kampanye meningkat ke skala penuh antara 15 dan 25 Maret, menggunakan beberapa jaringan FBW SAS IP yang berbasis di Prancis dan Rumania.

Selama waktu ini, para penyerang memutar enam nama parameter kueri (Dest, File, Redirect, Target, URI, URL) dan empat subpath (misalnya, /meta-data /, /data pengguna), menunjukkan pendekatan sistematis dalam exfiltrating data sensitif dari situs yang rentan.

Serangan itu berhasil karena contoh yang rentan berjalan di IMDSV1, layanan metadata yang lebih tua AWS yang memungkinkan siapa pun dengan akses ke instance untuk mengambil metadata, termasuk kredensial IAM yang disimpan.

Sistem ini telah digantikan oleh IMDSV2, yang membutuhkan token sesi (otentikasi) untuk melindungi situs web dari serangan SSRF.

Aktivitas eksploitasi yang lebih luas

Serangan -serangan ini disorot dalam laporan tren ancaman Maret 2025 di mana F5 Labs mendokumentasikan kerentanan yang paling dieksploitasi selama sebulan terakhir.

Empat CVE yang paling banyak dieksploitasi berdasarkan volume adalah:

• CVE-2017-9841 -Eksekusi Kode Jarak Jauh PhPunit melalui eval-stdin.php (69.433 upaya)
• CVE-2020-8958 – Guangzhou onu OS Command Injection RCE (4,773 upaya)
• CVE-2023-1389 -TP-Link Archer AX21 Command Injection RCE (4.698 upaya)
• CVE-2019-9082 – ThinkPHP PHP Injection RCE (3.534 upaya)

Laporan tersebut menggarisbawahi bahwa kerentanan yang lebih tua tetap sangat ditargetkan, dengan 40% CVE yang dieksploitasi berusia lebih dari empat tahun.

Untuk mengurangi ancaman, disarankan untuk menerapkan pembaruan keamanan yang tersedia, Harden Router dan konfigurasi perangkat IoT, dan mengganti peralatan jaringan EOL dengan model yang didukung.