WhoAMI Attack: Névzavaros taktika AWS-környezetek célzására

Fenyegetés a felhőbiztonságra

A kiberbiztonsági kutatók felfedezték a whoAMI-támadásnak nevezett névzavaros technikát, amely lehetővé teszi az egyének számára, hogy megtévesztő Amazon Machine Images (AMI-k) közzétételével manipulálják az Amazon Web Services (AWS) környezetét. Ez a módszer lehetővé teheti a támadók számára, hogy meghatározott feltételek mellett kódot hajtsanak végre az AWS-fiókokon belül, ami aggályokat vet fel a felhő biztonsági hibáival kapcsolatban.

Hogyan működik a whoAMI Attack

Lényegében a whoAMI támadás az ellátási lánc manipulációjának egyik formája, ahol félrevezető erőforrást használnak fel egy legitim erőforrás helyett. A támadás kihasználja azt a módot, ahogyan az AMI-ket – az AWS Elastic Compute Cloud (EC2) példányok indításához használt virtuális gépképeket – lekérik az AWS Community AMI katalógusából.

A kihasználás akkor működik, amikor a szoftverszkriptek vagy automatizálási eszközök név szerint keresnek egy AMI-t, de nem adnak meg olyan kritikus paramétereket, mint a tulajdonos vagy a tulajdonos azonosítója. Ilyen esetekben az AWS API több AMI-t is visszaadhat egyező névvel, beleértve az ismeretlen entitások által feltöltötteket is. Ha a keresési logika úgy van beállítva, hogy a legfrissebb képet válassza ki a listából, akkor a támadó egy megtévesztő AMI-t tesz közzé azonos névvel, növelve annak valószínűségét, hogy ezt választják a megbízható helyett.

A rosszul konfigurált AMI-kiválasztás következményei

Miután a támadó AMI-jét telepítették a cél AWS-környezetében, lehetőség nyílik a távoli kódvégrehajtásra (RCE). Ez azt jelenti, hogy a támadás mögött álló személy hozzáférhet a példányhoz, és további rosszindulatú tevékenységeket hajthat végre, például:

• Jogosulatlan szoftverek telepítése
• Érzékeny adatok kinyerése
• Rendszerbeállítások módosítása
• Állandó hozzáférés kialakítása a hosszú távú ellenőrzés érdekében

Mivel az AWS-környezeteket széles körben használják alkalmazások, adatbázisok és vállalati infrastruktúra tárolására, a sikeres kiaknázás jelentős hatással lehet a felhőszolgáltatásokra támaszkodó vállalkozásokra.

A párhuzamos ellátási lánc sebezhetősége

A whoAMI támadás hasonlóságokat mutat a szoftverfejlesztésben tapasztalt függőségi összetévesztési technikákkal. A függőségi zavaros támadások során a támadó egy belső szoftverfüggőség névvel azonos nevű csomagot tesz közzé, és ráveszi a rendszereket, hogy letöltsék a hamisított csomagot. Hasonlóképpen, a whoAMI esetében a támadó a megbízható AMI-t egy hasonlóra cseréli, lehetővé téve számára, hogy jogosulatlan változtatásokat hajtson végre a felhőalapú rendszereken.

Észlelési és válaszadási erőfeszítések

A problémát vizsgáló biztonsági elemzők megállapították, hogy az AWS-t használó szervezetek kis százalékát érintette ez a támadási minta. A problémát 2024. szeptember közepén jelentették az AWS-nek, és az AWS napokon belül orvosolta. Az AWS kijelentette, hogy semmilyen bizonyíték nem utal arra, hogy ezt a technikát az engedélyezett biztonsági kutatási erőfeszítéseken kívül használták volna ki.

A felfedezésre válaszul az AWS új biztonsági funkciót vezetett be Allowed AMIs néven. Ez a beállítás lehetővé teszi a felhasználók számára, hogy meghatározzák, mely AMI-k használhatók a fiókjukban, csökkentve annak kockázatát, hogy véletlenül ellenőrizetlen képeket választanak ki. Ezenkívül az infrastruktúra-kódként eszközök, például a Terraform figyelmeztetéseket adtak ki, amikor a "most_recent = true" paramétert az AMI tulajdonosának megadása nélkül használják, és a tervek szerint a jövőbeni verziókban szigorúbb érvényesítést kényszerítenek ki.

A felhőalapú biztonsági gyakorlatok megerősítése

Az ilyen taktikáknak való kitettség minimalizálása érdekében az AWS-környezeteket kezelő szervezeteknek felül kell vizsgálniuk AMI-lekérdezési folyamataikat, és biztosítaniuk kell, hogy minden keresés megadjon egy tulajdonosazonosítót vagy egy jóváhagyott AMI-listát. Beépített biztonsági gyakorlatok, például:

• Szigorú hozzáférés-szabályozás bevezetése az AMI kiválasztásánál
• A felhőkonfigurációk rendszeres ellenőrzése
• Az AWS biztonsági funkciói, például az engedélyezett AMI-k használata
• Felügyeleti megoldások alkalmazása a szokatlan telepítések észlelésére

E hiányosságok orvoslásával a vállalkozások csökkenthetik annak valószínűségét, hogy a névzavaros fenyegetések, például a whoAMI áldozatává váljanak, és fokozhatják felhőalapú infrastruktúrájuk általános biztonságát.