红队APT组织利用泄露的IAM密钥劫持AWS账户实施数据窃取
内容提要
Rapid7发现了一个名为Crimson Collective的新型网络犯罪组织，专门攻击亚马逊云服务（AWS），通过泄露的AWS密钥入侵系统，提升权限并窃取数据，最终发送勒索信。
关键要点
-
Rapid7发现了一个名为Crimson Collective的新型网络犯罪组织，专门攻击亚马逊云服务（AWS）。
-
该组织通过泄露的AWS密钥入侵系统，窃取敏感数据并勒索受害者。
-
Crimson Collective展现出对AWS云操作及身份与访问管理（IAM）机制的深刻理解。
-
攻击手法包括滥用泄露的AWS访问密钥，使用开源工具TruffleHog扫描凭证。
-
红队通过创建新的IAM用户和访问密钥来提升权限并建立持久性控制。
-
攻击者进行深度侦察，系统性枚举云资产，收集有关EC2实例、RDS数据库等信息。
-
一旦识别出有价值的资产，红队会修改RDS配置以窃取数据库内容。
-
攻击者使用AWS服务导出数据，并通过受害者的AWS基础设施发送勒索信。
-
该组织的目标是数据窃取、勒索和声誉损害，而非直接部署勒索软件。
延伸解读
攻击手法的演变
Crimson Collective的攻击手法显示了网络犯罪的演变，特别是在云环境中的复杂性。通过滥用泄露的AWS密钥，攻击者不仅能快速入侵，还能通过创建新用户和权限提升来保持持久控制。这种方法强调了企业在管理云凭证和权限配置时的脆弱性，提醒企业需加强对IAM策略的审查和监控。
深度侦察的重要性
红队在攻击前进行的深度侦察是其成功的关键。通过系统性地枚举云资产，攻击者能够识别高价值数据和潜在的外泄渠道。这一过程提醒企业在安全防护中，不仅要关注入侵检测，还需加强对云资源的可见性和监控，以便及时发现异常活动。
勒索信的发送方式
Crimson Collective利用受害者的AWS基础设施发送勒索信，这种策略不仅增加了攻击的隐蔽性，还利用了受害者的信任。企业应意识到，攻击者可能会利用合法的服务进行恶意活动，因此在监控和响应安全事件时，需关注内部流量和通信行为的异常。
延伸问答
Crimson Collective是什么组织？
Crimson Collective是一个新型网络犯罪组织，专门攻击亚马逊云服务（AWS），窃取数据并勒索受害者。
Crimson Collective如何入侵AWS账户？
该组织通过滥用泄露的AWS访问密钥入侵系统，提升权限并窃取数据。
Crimson Collective使用了哪些工具进行攻击？
他们使用开源工具TruffleHog扫描泄露的AWS凭证，以便进行攻击。
攻击者如何提升权限并建立持久性控制？
攻击者通过创建新的IAM用户和访问密钥，确保即使原始凭证被撤销也能持续访问。
Crimson Collective的最终目标是什么？
该组织的最终目标是数据窃取、勒索和声誉损害，而非直接部署勒索软件。
红队是如何发送勒索信的？
他们通常利用受害者的AWS基础设施，通过Amazon简单电子邮件服务（SES）发送勒索信。
