模塊化AlienFox工具包用于竊取云服務憑證
SentinelOne的安全專家發(fā)現(xiàn)并分析了一個新的惡意軟件工具集。該工具包被團隊稱為AlienFox，可以獲取多個云服務提供商的憑據(jù)。
SentinelOne威脅研究員Alex Delamotte發(fā)布的一份報告顯示，攻擊者使用AlienFox成功地從各種服務中獲取API密鑰和秘密，包括亞馬遜網(wǎng)絡服務(AWS)簡單電子郵件服務(SES)和微軟Office 365。
Delamotte解釋道：“AlienFox是一個模塊化工具集，主要以源代碼歸檔的形式分布在Telegram上。一些模塊可以在GitHub上使用，任何潛在的攻擊者都可以采用?！?/strong>
其中許多模塊都是開源的，因此威脅行為者可以根據(jù)自己的需要對其進行調(diào)整和修改。
Delamotte寫道:“反復出現(xiàn)的功能的演變表明，開發(fā)人員正變得越來越成熟，在最近的版本中，性能考慮處于最前沿?！?/strong>
使用AlienFox的威脅行為者使用該工具包從幾個安全掃描平臺(如LeakIX和SecurityTrails)編譯錯誤配置的主機列表。
SentinelOne的報告寫道：“他們使用工具集中的多個腳本，從受害者網(wǎng)絡服務器上暴露的配置文件中提取敏感信息，如API密鑰和機密。”
此外，該團隊觀察到的一些最新變體采用了新的腳本，這些腳本使用被盜的憑據(jù)自動執(zhí)行惡意操作。
Delamotte表示，AlienFox的傳播代表了一種新的趨勢，即攻擊更小的云服務(不適合加密挖掘)，然后啟用和擴展后續(xù)活動。
Delamotte補充道：“機會主義的云攻擊不再局限于加密挖礦。AlienFox工具促進了對缺乏挖礦所需資源的最小服務的攻擊。對于受害者來說，(服務憑證)泄露可能會導致額外的服務成本、客戶信任的損失和補救成本?！?/p>
就在SentinelOne的調(diào)查結(jié)果公布的幾天前，微軟表示，只有1%的云權(quán)限被積極使用，這可能會導致嚴重的安全風險。
