Using Modern Malware

El auge de la computación en la nube ha transformado no solo cómo las organizaciones almacenan y procesan su información, sino también cómo los actores maliciosos adaptan sus técnicas para comprometer activos en la nube. Una táctica cada vez más común empleada por el malware moderno es la de buscar y exfiltrar credenciales de servicios en la nube, como AWS. Dado que muchas aplicaciones y servicios dependen de AWS para operaciones críticas, las credenciales almacenadas localmente en las máquinas de los usuarios se convierten en objetivos valiosos.

¿Cómo opera el malware en este contexto?

El malware diseñado para comprometer activos en la nube a menudo comienza con la exploración de los sistemas locales en busca de archivos específicos que almacenan credenciales de acceso. En el caso de AWS, las credenciales suelen guardarse en:

• Windows: C:\Users\[Username]\.aws\credentials

• Linux: /root/.aws/credentials o /home/[User]/.aws/credentials

Una vez localizados, el malware puede exfiltrar estos archivos a un servidor controlado por atacantes. Con estas credenciales en mano, los atacantes pueden tener acceso no autorizado a los recursos de AWS, permitiéndoles realizar una amplia gama de acciones maliciosas, como:

• Exfiltración de datos: Acceder y descargar datos sensibles almacenados en servicios de AWS como S3 buckets.

• Elevación de privilegios: Modificar políticas de IAM para obtener mayores privilegios dentro del entorno AWS de la víctima.

• Despliegue de infraestructura maliciosa: Utilizar la cuenta comprometida para lanzar nuevas instancias de EC2 que podrían usarse para ataques adicionales o para minar criptomonedas.

• Ataques de Denegación de Servicio (DoS): Iniciar instancias o servicios que consuman excesivos recursos, generando costos elevados y potencialmente interrumpiendo los servicios legítimos.

Medidas de protección

Para protegerse contra este tipo de amenazas, las organizaciones deben adoptar varias medidas de seguridad, incluyendo:

• MFA (Autenticación Multifactor): Implementar MFA para el acceso a cuentas de AWS, dificultando el uso no autorizado de las credenciales robadas.

• Principio de Menor Privilegio: Limitar los permisos asociados con cada conjunto de credenciales al mínimo necesario para realizar sus tareas.

• Rotación regular de credenciales: Cambiar regularmente las claves de acceso y secretos para reducir la ventana de oportunidad en caso de que las credenciales sean comprometidas.

• Monitoreo y alertas: Utilizar servicios como AWS CloudTrail y Amazon GuardDuty para monitorear el acceso y las actividades sospechosas dentro de los recursos de AWS.

• Educación y concienciación del usuario: Capacitar a los usuarios sobre la importancia de la seguridad en la nube y cómo pueden evitar ser vectores de ataque.