HazyBeacon-Campagne nutzt AWS für heimliche Kommunikation

Technik und Auswirkungen

Die Angreifer wählen den zweiten Modus, um innerhalb weniger Sekunden eine öffentliche HTTPS-Relaisverbindung innerhalb der AWS-Infrastruktur zu etablieren. Da sich die Domain des Endpunkts auf „on.aws" endet, vermischen sich die Datenströme mit vertrauenswürdigen Amazon-Diensten.

Das Relay fungiert als stiller Mittelsmann: Die Schadsoftware sendet einen verschlüsselten HTTP-POST an eine Lambda-URL innerhalb eines anderen kompromittierten AWS-Kontos. Diese Funktion entfernt die Header und leitet das Payload an den eigentlichen Backend-Server der Angreifer weiter, der über denselben Pfad antwortet.

Sowohl die Opfer der Schadsoftware als auch die Inhaber des kompromittierten AWS-Kontos bemerken in der Regel nichts Auffälliges, bis eine Missbrauchsmitteilung oder eine unerwartete Rechnung eintrifft. Der Angriff folgt einer vorhersehbaren Kill Chain, die auf mangelnder Identitäts-Hygiene basiert.

Technischer Hintergrund

Die Angreifer validieren die gestohlenen Schlüssel zunächst über diskrete API-Aufrufe. Anschließend laden sie ein zip-archiviertes Python- oder Node.js-Payload als Lambda-Funktion mit einem harmlos wirkenden Namen, beispielsweise „UpdateWorker", hoch. Diese Funktionen werden in AWS-Regionen mit geringer Überwachung bereitgestellt, um Entdeckung zu vermeiden.

Um sich gegen solche Lambda-basierten Kommandorelay-Systeme zu verteidigen, sollten Organisationen zunächst eine strenge IAM-Hygiene etablieren. Dazu gehört das Deaktivieren ungenutzter Zugangsdaten, die regelmäßige Rotation der Multi-Faktor-Authentifizierung für alle Cloud-Konten.

Diese Maßnahmen schließen den primären Einstiegspunkt ab, auf den die Kampagne angewiesen ist. Zusätzlich ist die Aktivierung entscheidend. CloudTrail dokumentiert jeden API-Aufruf zur Erstellung und macht unbefugte Bereitstellungen sichtbar, selbst in selten überwachten Regionen.

Technik und Auswirkungen

Die Erkennung anomaler Aktivitäten während der Aufklärung kann kompromittierte Zugangsdaten aufdecken, bevor das Relay live geht. Organisationen können Service Control Policies auf Ebene der AWS Organization anwenden, um Lambda Function URLs mit der Einstellung „AuthType: NONE" zu blockieren, es sei denn, diese wurden explizit durch Tagging genehmigt.

Dies verhindert, dass ein öffentlicher Relay auch mit gültigen, gestohlenen Zugangsdaten bereitgestellt wird. Das Routing über eine Virtual Private Cloud (VPC) fügt eine zusätzliche Erkennungsebene hinzu. Relay-Verkehr erzeugt dabei ein eindeutiges Muster aus einer-zu-einer Zuordnung in Flow Logs. Die Überwachung rundet die Abwehrstrategie ab.

Ein Relay, das viele infizierte Maschinen bedient, erzeugt enorme Aufrufvolumina, die als plötzliche Kostenanstiege sichtbar werden, insbesondere in Nicht-Produktionsregionen. Granulare Budgetwarnungen können dieses Missbrauchsmuster erkennen, bevor es sich weiter ausweitet.