Hackern nutzt AWS CloudTrail und Google Cloud Logging zur Log-Manipulation und Datenexfiltration

Technischer Hintergrund

Ein Angreifer, der in dieser Stille operiert, kann ungestört Zeit gewinnen, Privilegien eskalieren und sensible Daten abgreifen, während er fast keinen Widerstand von Sicherheitsteams erfährt. Hacker missbrauchen AWS CloudTrail und Google Cloud Logging. Die Abwehrumgehung über Cloud-Logging nimmt verschiedene Formen an.

Die direkteste Methode besteht darin, den Logging-Prozess vollständig zu unterbrechen. In AWS kann ein Angreifer mit den entsprechenden Berechtigungen die stop-logging-API für eine bestimmte Trail aufrufen, wodurch alle Log-Einträge sofort in den verbundenen S3-Stopper gestoppt werden.

In Google Cloud entspricht dies dem Deaktivieren eines Sinks, wodurch Log-Einträge nicht mehr an ihr Ziel gelangen. Neben dem Unterbrechen der Logs können Angreifer den Speicherbehälter vollständig löschen. In AWS erfordert dies die Berechtigungen s3:DeleteBucket und s3:DeleteObject.

Technischer Hintergrund

In Google Cloud geht ein gelöschter Log-Container in den Zustand DELETE_REQUESTED über und wird nach sieben Tagen endgültig entfernt.

Ein subtilerer Ansatz besteht darin, den Verschlsselungsschlssel, der die Logs schtzt, durch einen vom Angreifer kontrollierten KMS-Schlssel zu ersetzen und diesen anschlieend zu widerrufen, wodurch das Schreiben und Lesen von Logs unmglich wird.

Die fnfte Methode ist das Log-Poisoning, bei dem ein Angreifer eine Logdatei bearbeitet, um Beweise fr seine Aktivitten zu entfernen und sie erneut hochldt, wodurch die Prfpfad ungltig wird. Angreifer leiten Logs um, um Echtzeit-Spionagezugriff zu erhalten.

Technischer Hintergrund

Sobald sie in eine Opferumgebung eingedrungen sind, zerstren fortschrittliche Angreifer Logs nicht einfach; sie leiten sie um, indem sie eine neue Routing-Ressource erstellen oder eine bestehende modifizieren, sodass alle Aktivittslogs an Speicherorte gesendet werden, die sie kontrollieren.

In AWS wird dies ber die APIs create-trail oder update-trail mit einem benutzerdefinierten Bucket-Namen durchgefhrt. In Google Cloud wird das gleiche Ergebnis mit den APIs logging.sinks.create oder logging.sinks.update erzielt.

Ab diesem Zeitpunkt erhlt der Angreifer eine Live-bertragung aller Vorgnge im Konto des Opfers  von IAM-nderungen bis zum Zugriff auf sensible Daten  ohne dass das Opfer davon wei.

Technischer Hintergrund

Um die Exposition zu reduzieren, sollten AWS-Benutzer den API-Aufruf für update-trail auf hochprivilegierte Benutzer beschränken und S3-Bucket-Richtlinien so einrichten, dass nur CloudTrail Schreibzugriff darauf hat. AWS verwahrt zudem eine unveränderliche Ereignishistorie von 90 Tagen, die nicht verändert werden kann.

In Google Cloud sollten Teams die Berechtigungen für logging.sinks.update streng einschränken. Der integrierte Log-Bucket _Required_ bietet eine unveränderliche Aufzeichnung, die weder geändert noch gelöscht werden kann.

Die Aktivierung der Integritätsvalidierung von CloudTrail-Logdateien ist ebenfalls entscheidend, da sie kryptografische Prüfungen verwendet, um festzustellen, ob Logdateien nach der Lieferung verändert wurden. Tushar ist ein leitender Cybersecurity- und Datenschutzverletzungs-Reporter.

Sicherheitslage und Risiko

Er spezialisiert sich auf die Berichterstattung über Cybersecurity-Nachrichten, Trends und neue Bedrohungen, Datenschutzverletzungen sowie Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen. Mehrere Sicherheitslücken in Splunk Enterprise ermöglichen Angreifern die Ausführung bösartiger Skripte.

Die 0-Day-Schwachstelle in Microsoft Exchange Server wird in Angriffen mit manipulierten E-Mails ausgenutzt. Anthropics Claude Fable 5 wurde umgangen, um Stack-Exploits zu generieren.