Cảnh báo: Tin tặc có thể lợi dụng AWS STS để xâm nhập vào tài khoản cloud

Các tác nhân đe dọa có thể lợi dụng Dịch vụ Web Services Security Token của Amazon (AWS STS) để xâm nhập vào tài khoản cloud và thực hiện các cuộc tấn công sau đó.

Nhà nghiên cứu Thomas Gardner và Cody Betsworth của Red Canary cho biết dịch vụ này cho phép các tác nhân đe dọa mạo danh danh tính và vai trò của người dùng trong môi trường cloud.

AWS STS là dịch vụ web cho phép người dùng yêu cầu thông tin xác thực tạm thời, có đặc quyền hạn chế để người dùng truy cập tài nguyên AWS mà không cần tạo danh tính AWS. Các mã token STS này có thể có hiệu lực trong khoảng từ 15 phút đến 36 giờ.

Tác nhân đe dọa có thể đánh cắp token dài hạn IAM thông qua nhiều phương pháp khác nhau như lây nhiễm phần mềm độc hại, thông tin xác thực bị lộ công khai và email lừa đảo, sau đó sử dụng chúng để xác định vai trò và đặc quyền liên quan đến các mã token đó thông qua lệnh gọi API.

“Tùy thuộc vào cấp độ quyền của token, kẻ tấn công cũng có thể sử dụng nó để tạo thêm người dùng IAM bằng token AKIA (Long Term Access Key-khóa truy cập dài hạn) để có thể có quyền truy cập lâu dài trong trường hợp token AKIA ban đầu của kẻ tấn công và tất cả token ASIA (Temporary Access Key- khóa truy cập ngắn hạn) mà nó tạo ra bị phát hiện và thu hồi", nhà nghiên cứu cho biết.

Trong giai đoạn tiếp theo, một token STS đã được xác thực MFA được sử dụng để tạo nhiều token ngắn hạn mới, sau đó tiến hành các hành động sau khai thác như trích xuất dữ liệu.

Để giảm thiểu việc lạm dụng mã token AWS như vậy, người dùng được khuyến nghị nên ghi log dữ liệu sự kiện (event) CloudTrail, phát hiện các event kết hợp vai trò (role-chaining) và lạm dụng MFA, đồng thời thay đổi các khóa truy cập dài hạn của người dùng IAM.

Các nhà nghiên cứu cho biết: "AWS STS là biện pháp kiểm soát bảo mật quan trọng nhằm hạn chế việc sử dụng thông tin xác thực cố định và thời lượng truy cập của người dùng trên cơ sở hạ tầng cloud của họ".

“Tuy nhiên, trong một số cấu hình IAM phổ biến ở nhiều tổ chức, kẻ tấn công cũng có thể tạo và lạm dụng các mã token STS này để truy cập tài nguyên cloud và thực hiện các hành động độc hại”.

Nguồn: thehackernews.com.