AWS é usada por atacantes para atacar governos do Sudeste Asiático
São Paulo — InkDesign News — Atacantes estão mirando entidades governamentais no Sudeste Asiático com um novo Trojan de Acesso Remoto (RAT) que explora serviços legítimos da Amazon Web Services (AWS) Lambda, criando táticas de comando e controle (C2) camufladas.
Vetor de ataque
De acordo com pesquisadores da Palo Alto Networks, a campanha, identificada como CL-STA-1020, utiliza uma backdoor chamada HazyBeacon. Os hackers empregam um método inovador ao abusar de recursos da AWS Lambda, especificamente a funcionalidade de URLs, para mascarar suas atividades maliciosas.
A backdoor usa a técnica de injeção de DLLs maliciosas em conjunto com executáveis legítimos, permitindo que a carga maliciosa estabeleça comunicação C2 via URLs da AWS. A Windows Service chamada msdnetsvc é criada para garantir a persistência da backdoor mesmo após reinicializações.
Impacto e resposta
A operação já comprometeu dados provenientes de agências governamentais, incluindo informações sobre tarifas e disputas comerciais. A utilização de Google Drive e Dropbox para exfiltração de dados também foi observada, permitindo que a atividade maliciosa se misture ao tráfego de rede legítimo.
“Essa campanha destaca como atacantes encontram novas maneiras de abusar de serviços em nuvem confiáveis.”
(“This campaign highlights how attackers continue to find new ways to abuse legitimate, trusted cloud services.”)— Lior Rochberger, Pesquisador Sênior de Ameaças, Palo Alto Networks
Análise e recomendações
Os pesquisadores também indicaram que o uso de comunicações legítimas dentro da AWS se torna um método cada vez mais comum entre os invasores. Por isso, recomenda-se que equipes de segurança priorizem o monitoramento aprimorado do uso de recursos em nuvem para identificar comportamentos anômalos. A configuração de modelos de aprendizado de máquina focados em indicadores de comprometimento (IoCs) pode ser crucial para detectar tentativas de invasão.
Com o aumento contínuo das ameaças cibernéticas sofisticadas, a mitigação por meio de estratégias robustas se torna imperativa para assegurar a integridade das operações em nuvem e a proteção de dados críticos.
Fonte: (Dark Reading – Segurança Cibernética)
