Em uma investigação recente, os pesquisadores israelenses Noam Rotem e Ran Locar desvendaram uma operação cibercriminosa de grande escala que comprometeu dados de milhares de empresas e organizações que utilizam a Amazon Web Services (AWS) como provedor de nuvem. A descoberta foi detalhada em um relatório publicado pela vpnMentor, fornecendo um vislumbre das táticas e da infraestrutura utilizadas pelos atacantes.

A operação envolveu a varredura de milhões de sites para explorar vulnerabilidades decorrentes de configurações incorretas em sites públicos. Esses pontos fracos permitiram que os invasores obtivessem acesso a credenciais de infraestrutura, códigos-fonte, bancos de dados de aplicativos e, em alguns casos, credenciais para serviços externos adicionais.

Os dados coletados pelas vítimas eram armazenados em um bucket S3 da AWS, que, devido a uma configuração inadequada por parte de seu proprietário, permaneceu aberto e acessível. Esse bucket funcionava como um “drive compartilhado” entre os membros do grupo de ataque, facilitando o armazenamento e a troca de informações obtidas ilegalmente.

Infraestrutura e Origens da Operação

A infraestrutura utilizada pelos agentes de ameaça demonstrava sofisticação e abrangência. Eles empregaram ferramentas de automação para identificar e explorar endpoints vulneráveis na internet, permitindo um acesso profundo a sistemas corporativos. O relatório indicou que os agentes pareciam operar a partir de um país de língua francesa, com indícios claros sobre suas táticas e ferramentas. Essas incluíam scripts escritos em bash, python, php e nodeJS, além de variações modificadas de ferramentas de ataque conhecidas.

Embora os pesquisadores tenham encontrado o código utilizado pelos atacantes e identificado possíveis identidades, ainda não há confirmação sobre as pessoas por trás dessa operação. O uso de uma infraestrutura descentralizada destaca o nível de organização e planejamento do grupo.

Modelo de Responsabilidade Compartilhada

Um ponto importante abordado é que as configurações inadequadas que permitiram esse ataque estão sob a responsabilidade dos clientes da AWS, conforme o modelo de responsabilidade compartilhada adotado pela plataforma. Esse modelo estipula que, enquanto o provedor de nuvem gerencia a infraestrutura subjacente, cabe aos clientes configurarem corretamente seus recursos e implementarem medidas de segurança adequadas.

A AWS colaborou para notificar os clientes afetados e mitigar o impacto da violação. Contudo, a situação serve como um alerta para empresas que utilizam estes serviços.