Una campa\u00f1a de extorsi\u00f3n a gran escala ha comprometido a varias organizaciones aprovech\u00e1ndose de archivos de variables de entorno de acceso p\u00fablico (.env) que contienen credenciales asociadas a aplicaciones de redes sociales y en la nube.<\/p>\n
“Durante esta campa\u00f1a se cometieron m\u00faltiples errores de seguridad, entre ellos: exposici\u00f3n de variables de entorno, uso de credenciales de larga duraci\u00f3n y ausencia de una arquitectura de privilegios m\u00ednimos”, Palo Alto Networks Unit 42 dicho<\/a> en un informe del jueves.<\/p>\n La campa\u00f1a se destaca por establecer su infraestructura de ataque dentro de los entornos de Amazon Web Services (AWS) de las organizaciones infectadas y usarlos como plataforma de lanzamiento para escanear m\u00e1s de 230 millones de objetivos \u00fanicos en busca de datos confidenciales.<\/p>\n Con 110.000 dominios atacados, se dice que la actividad maliciosa ha capturado m\u00e1s de 90.000 variables \u00fanicas en los archivos .env, de las cuales 7.000 pertenec\u00edan a servicios en la nube de organizaciones y 1.500 variables est\u00e1n vinculadas a cuentas de redes sociales.<\/p>\n “La campa\u00f1a consisti\u00f3 en que los atacantes consiguieron obtener un rescate de los datos alojados en contenedores de almacenamiento en la nube”, dijo Unit 42. “El evento no incluy\u00f3 a los atacantes que cifraran los datos antes del rescate, sino que extrajeron los datos y colocaron la nota de rescate en el contenedor de almacenamiento en la nube comprometido”.<\/p>\n El aspecto m\u00e1s sorprendente de los ataques es que no se basan en vulnerabilidades de seguridad o configuraciones err\u00f3neas en los servicios de los proveedores de la nube, sino que surgen de la exposici\u00f3n accidental de archivos .env en aplicaciones web no seguras para obtener acceso inicial.<\/p>\n Una violaci\u00f3n exitosa de un entorno de nube allana el camino para pasos de descubrimiento y reconocimiento exhaustivos con el objetivo de ampliar su presencia, y los actores de amenazas utilizan las claves de acceso de AWS Identity and Access Management (IAM) para crear nuevos roles y aumentar sus privilegios.<\/p>\n Luego, el nuevo rol de IAM con permisos administrativos se utiliza para crear nuevas funciones de AWS Lambda para iniciar una operaci\u00f3n de escaneo automatizada en Internet que contiene millones de dominios y direcciones IP.<\/p>\n “El script recuper\u00f3 una lista de objetivos potenciales de un bucket S3 de terceros de acceso p\u00fablico explotado por el actor de amenazas”, dijeron los investigadores de la Unidad 42 Margaret Zimmermann, Sean Johnstone, William Gamazo y Nathaniel Quist.<\/p>\n “La lista de objetivos potenciales sobre los que iter\u00f3 la funci\u00f3n lambda maliciosa conten\u00eda un registro de dominios de v\u00edctimas. Para cada dominio de la lista, el c\u00f3digo realiz\u00f3 una solicitud cURL, dirigida a cualquier archivo de variable de entorno expuesto en ese dominio (es decir, https:\/\/ Si el dominio de destino aloja un archivo de entorno expuesto, las credenciales de texto sin formato contenidas en el archivo se extraen y almacenan en una carpeta reci\u00e9n creada dentro de otro dep\u00f3sito p\u00fablico de AWS S3 controlado por un actor de amenazas. Desde entonces, AWS ha dado de baja el dep\u00f3sito.<\/p>\n Se descubri\u00f3 que la campa\u00f1a de ataque selecciona espec\u00edficamente instancias en las que los archivos .env contienen credenciales de Mailgun, lo que indica un esfuerzo por parte del adversario para aprovecharlos para enviar correos electr\u00f3nicos de phishing desde dominios leg\u00edtimos y eludir las protecciones de seguridad.<\/p>\n La cadena de infecci\u00f3n termina cuando el actor de amenazas exfiltra y elimina datos confidenciales del dep\u00f3sito S3 de la v\u00edctima y carga una nota de rescate que los insta a contactarse y pagar un rescate para evitar vender la informaci\u00f3n en la web oscura.<\/p>\n Las motivaciones financieras del ataque tambi\u00e9n son evidentes en los intentos fallidos del actor de la amenaza de crear nuevos recursos Elastic Cloud Compute (EC2) para la miner\u00eda il\u00edcita de criptomonedas.<\/p>\n Actualmente no est\u00e1 claro qui\u00e9n est\u00e1 detr\u00e1s de la campa\u00f1a, en parte debido al uso de VPN y la red TOR para ocultar su verdadero origen, aunque Unit 42 dijo que detect\u00f3 dos direcciones IP que fueron geolocalizadas en Ucrania y Marruecos como parte de la funci\u00f3n lambda y las actividades de exfiltraci\u00f3n de S3, respectivamente.<\/p>\n “Los atacantes detr\u00e1s de esta campa\u00f1a probablemente aprovecharon t\u00e9cnicas de automatizaci\u00f3n extensivas para operar con \u00e9xito y rapidez”, dijeron los investigadores. “Esto indica que estos grupos de actores de amenazas son expertos y tienen conocimientos en t\u00e9cnicas y procesos de arquitectura de nube avanzados”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/Los-atacantes-explotan-archivos-env-publicos-para-vulnerar-cuentas-de.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n