Conform TechSpot, o campanie cibernetică susținută care a vizat dispozitivele clienților găzduite pe infrastructura Amazon Web Services în țările occidentale a fost atribuită grupului de hacking Sandworm, legat de agenția de informații militare GRU a Rusiei, conform descoperirilor publicate de echipa de informații despre amenințări a Amazon. Operațiunea de cinci ani reprezintă un efort prelungit sponsorizat de stat, care țintește infrastructura conectată la cloud.
CJ Moses, directorul de securitate al informațiilor la Amazon, a confirmat descoperirea într-o analiză din 15 decembrie, descriind campania ca fiind “o evoluție semnificativă în țintirea infrastructurii critice.” Moses, care anterior a fost lider tehnic pentru analiza intruziunilor computerizate și de rețea la Divizia Cibernetică a FBI, a declarat că atacatorii au “făcut un pivot tactic în care dispozitivele de margine ale rețelei clienților, aparent configurate greșit, au devenit vectorul principal de acces inițial.”
Incidentul reprezintă o schimbare în modul în care hackerii sponsorizati de Rusia abordează intruziunile. În loc să se bazeze pe vulnerabilitățile software, atacatorii au căutat dispozitive gestionate de clienți conectate la cloud, lăsate expuse prin configurare incorectă – o problemă care continuă să afecteze chiar și echipele IT experimentate.
După ce au câștigat un punct de acces, hackerii au fost capabili să desfășoare activități de colectare de acreditări și mișcări laterale în cadrul serviciilor și infrastructurii organizațiilor victimă.
Sistemele exploatate nu erau neapărat nepăzite sau depășite. Atacatorii au identificat dispozitive de margine, precum echipamente de rutare, gateway-uri și aparate de rețea, pe care clienții le-au configurat greșit fără să-și dea seama. Aceste dispozitive, care adesea se află între rețelele interne ale întreprinderilor și mediile cloud externe, au devenit puncte de intrare care nu necesitau exploatări zero-day sau malware avansat la început.
Actorii legați de Sandworm au fost observați țintind în mod repetat astfel de infrastructuri pe parcursul mai multor ani, cu activitate datând cel puțin din 2021. Conform analizei Amazon, atenția lor a fost îndreptată spre ținte globale de infrastructură, cu un accent deosebit pe sectorul energetic occidental, în special în America de Nord și Europa.
Experții în securitate spun că această metodă permite atacatorilor să rămână sub pragurile de detectare, utilizând conexiuni și acreditări legitime ale rețelei, mai degrabă decât să exploateze în mod vizibil vulnerabilități cunoscute. Avertizarea Amazon servește ca un memento că standardele de configurare impuse – și nu doar actualizarea regulată – rămân esențiale pentru organizațiile care se bazează pe medii cloud și hibride pentru fluxuri de lucru critice.
Separat, Amazon a dezvăluit că a identificat încercări ale operatorilor nord-coreeni de a desfășura operațiuni cibernetice la scară largă, conform comentariilor făcute de Steve Schmidt, directorul de securitate al Amazon.
Corecție (20 dec): Acest articol a fost revizuit pentru a clarifica că campania cibernetică descrisă de Amazon a vizat dispozitive de margine ale rețelei, gestionate de clienți și configurate greșit, găzduite pe AWS, nu infrastructura Amazon Web Services în sine. Actualizările reflectă, de asemenea, caracterizarea activității de către Amazon ca fiind o țintire susținută observată între 2021 și 2025, mai degrabă decât acces continuu, și corectează atribuția referitoare la o dezvăluire separată privind operațiunile cibernetice nord-coreene.
