AWSユーザーは注意、誤って公開した環境設定ファイル(.env)が原因でサイバー攻撃
マイナビニュース / 2024年8月20日 8時44分
Palo Alto Networksは8月15日(米国時間)、「Leaked Environment Variables Allow Large-Scale Extortion Operation of Cloud Environments」において、Amazon Web Services(AWS)の顧客が誤って公開した環境設定ファイル(.env)からIDおよびアクセス管理(IAM: Identity and Access Management)の認証情報を窃取するサイバー攻撃キャンペーンを発見したと報じた。このキャンペーンでは、窃取した認証情報から管理者権限を持つ新しいIAMロールを作成し、Amazon Simple Storage Service(S3)のオブジェクトを窃取して身代金を要求するという。
○攻撃手順の概要
同社は過去1年間のAWS環境におけるさまざまなインシデントについて、環境変数ファイルを誤って公開することによるインシデントが多いと分析している。このケースにおける基本的な攻撃手順は次のとおり。
攻撃者は最初に誤って公開された環境変数ファイルからIDおよびアクセス管理の認証情報(アクセスキー)を入手する。次に、この認証情報を悪用して標的のクラウド環境に侵入し、以下のサービスとユーザー情報について調査を実施する。
IDおよびアクセス管理(IAM)
Security Token Service(STS)
Simple Storage Service(S3)
Simple Email Service(SES)
調査を終えると管理者権限を持つ新しいIAMロールを作成して権限を昇格。マイニングを目的としたAmazon EC2リソースを作成する。次にSimple Storage Service(S3)へアクセスし、すべてのオブジェクトを窃取して削除。空になったバケットにメモを残して身代金を要求する。
なお、Palo Alto Networksが分析したインシデントにおいて、攻撃者はAmazon EC2リソースの作成に失敗したとされる。しかしながら、この試みは攻撃者の目的が金銭にあることを明らかにしている。
最後に悪意のあるLambda関数を作成し、環境変数ファイル(http://標的のアドレス/.env)を窃取するスクリプトを実行。自らの存在を秘匿しつつ、次の標的へ攻撃を拡大する。
-
-
- 1
- 2
-
この記事に関連するニュース
-
ラック、セキュリティ専門家が発刊する「LAC Security Insight 第9号 2024 夏」を公開
@Press / 2024年8月20日 11時30分
-
ネットワンシステムズ、ネットワークセキュリティ監視サービスNDRメニューにおいて、Palo Alto Networks社Cortex® XDR の取り扱いを開始
Digital PR Platform / 2024年8月9日 11時0分
-
盗んだFacebookアカウントで偽広告配信してマルウェア感染、要注意
マイナビニュース / 2024年8月7日 9時52分
-
Android狙うフィッシングキットとAI、攻撃者がセット販売
マイナビニュース / 2024年7月29日 12時32分
-
北朝鮮が核計画推進のサイバー攻撃、米当局らが警戒呼びかけ
マイナビニュース / 2024年7月29日 7時51分
ランキング
-
1だから、そうはならんやろ 芸術的な“クモ”の絵を描いたら…… “予想外のオチ”が30万再生 「背筋が震えた」【海外】
ねとらぼ / 2024年8月20日 7時15分
-
2セキュリティ業界にあふれる“片仮名バズワード”を正しく理解するコツとは?
ITmedia エンタープライズ / 2024年8月20日 7時15分
-
3サーバーは「鯖」ネット用語の当て字、新作は?「升」「青空」
iza(イザ!) / 2024年8月19日 18時39分
-
4「コレは買うしかないやつ」 ユニクロの“1990円バッグ”が万能すぎる! 折りたたみ傘もラクラク入るサイズがうれしい
ねとらぼ / 2024年8月20日 7時0分
-
5こんなの売ってるの!? 官公庁オークションに“1万円”で出品された「まさかの商品」に仰天
ねとらぼ / 2024年8月20日 7時30分
複数ページをまたぐ記事です
記事の最終ページでミッション達成してください
![](/pc/img/mission/mission_close_icon.png)