Los actores de amenaza est\u00e1n dirigidos a entornos de Amazon Web Services (AWS) para expulsar las campa\u00f1as de phishing a objetivos desprevenidos, seg\u00fan los hallazgos de la Unidad 42 de Palo Alto Networks.<\/p>\n
La compa\u00f1\u00eda de ciberseguridad est\u00e1 rastreando el cl\u00faster de actividad bajo el nombre TGR-UNCH-0011<\/strong> (abreviatura de un Grupo de amenazas con motivaci\u00f3n desconocida<\/a>), que dijo se superpone con un grupo conocido como Javaghost. Se sabe que TGR-UNCH-0011 est\u00e1 activo desde 2019.<\/p>\n “El grupo se centr\u00f3 hist\u00f3ricamente en desfigurar sitios web”, la investigadora de seguridad Margaret Kelley dicho<\/a>. “En 2022, giraron para enviar correos electr\u00f3nicos de phishing para obtener ganancias financieras”.<\/p>\n Vale la pena se\u00f1alar que estos ataques no explotan ninguna vulnerabilidad en AWS. M\u00e1s bien, los actores de amenaza aprovechan las configuraciones err\u00f3neas en los entornos de las v\u00edctimas que exponen sus claves de acceso AWS para enviar mensajes de phishing al abusar del Servicio de correo electr\u00f3nico simple (SES) de Amazon y los servicios de Workmail.<\/p>\n Al hacerlo, el modus operandi ofrece el beneficio de no tener que alojar o pagar su propia infraestructura para llevar a cabo la actividad maliciosa.<\/p>\n Adem\u00e1s, permite que los mensajes de phishing del actor de amenaza reduzcan las protecciones por correo electr\u00f3nico ya que las misivas digitales se originan en una entidad conocida de la cual la organizaci\u00f3n objetivo ha recibido correos electr\u00f3nicos previamente.<\/p>\n “Javaghost obtuvo claves de acceso a largo plazo expuestas asociadas con usuarios de gesti\u00f3n de identidad y acceso (IAM) que les permitieron obtener acceso inicial a un entorno AWS a trav\u00e9s de la interfaz de l\u00ednea de comandos (CLI)”, explic\u00f3 Kelley. <\/p>\n “Entre 2022-24, el grupo evolucion\u00f3 sus t\u00e1cticas a t\u00e9cnicas de evasi\u00f3n de defensa m\u00e1s avanzadas que intentan ofuscar identidades en el Logs de CloudTrail<\/a>. Esta t\u00e1ctica ha sido hist\u00f3ricamente explotado por ara\u00f1a dispersa<\/a>“<\/p>\n Una vez que se confirma el acceso a la cuenta AWS de la organizaci\u00f3n, se sabe que los atacantes generan credenciales temporales<\/a> y una url de inicio de sesi\u00f3n para Permitir acceso a la consola<\/a>. Esto, se\u00f1al\u00f3 la Unidad 42, les otorga la capacidad de ofuscar su identidad y obtener visibilidad de los recursos dentro de la cuenta de AWS.<\/p>\n Posteriormente, el grupo se ha observado utilizando SES y Workmail para establecer la infraestructura de phishing, crear nuevos usuarios de SES y Workmail, y configurar nuevas credenciales SMTP para enviar mensajes de correo electr\u00f3nico.<\/p>\n “A lo largo del per\u00edodo de los ataques, Javaghost crea varios usuarios de IAM, algunos que usan durante sus ataques y otros que nunca usan”, dijo Kelley. “Los usuarios no utilizados de IAM parecen servir como mecanismos de persistencia a largo plazo”.<\/p>\n Otro aspecto notable del modus operandi del actor de la amenaza se refiere a la creaci\u00f3n de un nuevo papel de IAM con un Pol\u00edtica de confianza adjunta<\/a>permiti\u00e9ndoles acceder a la cuenta AWS de la organizaci\u00f3n desde otra cuenta de AWS bajo su control.<\/p>\n “El grupo contin\u00faa dejando la misma tarjeta de llamadas en el medio de su ataque mediante la creaci\u00f3n de nuevos grupos de seguridad de Amazon Elastic Cloud Compute (EC2) llamados Java_Ghost, con la descripci\u00f3n del grupo ‘Estamos all\u00ed pero no visibles'”, concluy\u00f3 la Unidad 42.<\/p>\n “Estos grupos de seguridad no contienen ninguna regla de seguridad y el grupo generalmente no intenta adjuntar estos grupos de seguridad a ning\u00fan recurso. La creaci\u00f3n de los grupos de seguridad aparece en los registros de CloudTrail en los eventos CreateSeCurityGroup”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/03\/Los-hackers-explotan-las-configuraciones-erroneas-de-AWS-para-lanzar.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n