Una nueva campa\u00f1a en curso denominada EleKtra-fuga<\/strong> ha puesto sus ojos en las credenciales expuestas de gesti\u00f3n de identidad y acceso (IAM) de Amazon Web Service (AWS) dentro de los repositorios p\u00fablicos de GitHub para facilitar las actividades de criptojacking.<\/p>\n “Como resultado de esto, el actor de amenazas asociado con la campa\u00f1a pudo crear m\u00faltiples instancias de AWS Elastic Compute (EC2) que utilizaron para operaciones de cryptojacking de amplio alcance y larga duraci\u00f3n”, dijeron los investigadores de la Unidad 42 de Palo Alto Networks, William Gamazo y Nathaniel Quist dicho<\/a> en un informe t\u00e9cnico compartido con The Hacker News.<\/p>\n La operaci\u00f3n, activa desde al menos diciembre de 2020, est\u00e1 dise\u00f1ada para extraer Monero de hasta 474 instancias \u00fanicas de Amazon EC2 entre el 30 de agosto y el 6 de octubre de 2023.<\/p>\n Un aspecto destacado de los ataques es el ataque automatizado a las credenciales de AWS IAM dentro de los cuatro minutos de su exposici\u00f3n inicial en GitHub, lo que indica que los actores de amenazas est\u00e1n clonando y escaneando program\u00e1ticamente los repositorios para capturar las claves expuestas.<\/p>\n Tambi\u00e9n se ha observado que el adversario incluye en una lista bloqueada cuentas de AWS que publicitan credenciales de IAM en lo que probablemente se considera un esfuerzo por evitar m\u00e1s an\u00e1lisis.<\/p>\n Hay evidencia que sugiere que el atacante tambi\u00e9n pudo haber estado vinculado a otra campa\u00f1a de criptojacking. revelado por Intezer<\/a> en enero de 2021 ten\u00eda como objetivo servicios Docker mal protegidos utilizando el mismo software de miner\u00eda personalizado.<\/p>\n Parte del \u00e9xito de la campa\u00f1a radica en la explotaci\u00f3n de puntos ciegos en la funci\u00f3n de escaneo secreto de GitHub y AWS. AWSCompromisedKeyPol\u00edtica de cuarentena<\/a> para marcar y evitar el uso indebido de credenciales de IAM comprometidas o expuestas para ejecutar o iniciar instancias EC2.<\/p>\n Si bien la pol\u00edtica de cuarentena se aplica dentro de los dos minutos posteriores al acceso p\u00fablico a las credenciales de AWS en GitHub, se sospecha que las claves est\u00e1n siendo expuestas a trav\u00e9s de un m\u00e9todo a\u00fan indeterminado.<\/p>\n La Unidad 42 dijo que “el actor de amenazas podr\u00eda encontrar claves de AWS expuestas que AWS no detecta autom\u00e1ticamente y posteriormente controlar estas claves fuera de la pol\u00edtica AWSCompromisedKeyQuarantine”.<\/p>\n En las cadenas de ataque descubiertas por la empresa de ciberseguridad, las credenciales de AWS robadas se utilizan para realizar una operaci\u00f3n de reconocimiento de cuenta, seguida de la creaci\u00f3n Grupos de seguridad de AWS<\/a> y lanzar m\u00faltiples instancias EC2 en varias regiones desde detr\u00e1s de una red privada virtual (VPN).<\/p>\n Las operaciones de criptominer\u00eda se llevan a cabo en instancias c5a.24xlarge de AWS debido a su mayor poder de procesamiento, lo que permite a sus operadores extraer m\u00e1s criptomonedas en un per\u00edodo de tiempo m\u00e1s corto.<\/p>\n El software de miner\u00eda utilizado para llevar a cabo el cryptojacking se obtiene de una URL de Google Drive, lo que resalta un patr\u00f3n de actores maliciosos que aprovechan la confianza asociada con aplicaciones ampliamente utilizadas para pasar desapercibidas.<\/p>\n “El tipo de im\u00e1genes de m\u00e1quinas de Amazon (IAM<\/a>) el actor de amenazas utilizado tambi\u00e9n era distintivo”, dijeron los investigadores. “Las im\u00e1genes identificadas eran privadas y no figuraban en AWS Marketplace”.<\/p>\n Para mitigar dichos ataques, se recomienda a las organizaciones que exponen accidentalmente las credenciales de AWS IAM que revoquen inmediatamente cualquier conexi\u00f3n API utilizando las claves, las eliminen del repositorio de GitHub y auditen GitHub. eventos de clonaci\u00f3n de repositorios<\/a> para cualquier operaci\u00f3n sospechosa.<\/p>\n “El actor de amenazas puede detectar y lanzar una operaci\u00f3n minera a gran escala en cinco minutos desde el momento en que se expone una credencial de AWS IAM en un repositorio p\u00fablico de GitHub”, dijeron los investigadores. “A pesar del \u00e9xito de las pol\u00edticas de cuarentena de AWS, la campa\u00f1a mantiene una fluctuaci\u00f3n continua en el n\u00famero y la frecuencia de las cuentas de las v\u00edctimas comprometidas”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/10\/Los-ataques-de-criptojacking-de-EleKtra-Leak-explotan-las-credenciales-de.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n