Fieser Ransomware-Angriff gegen Nutzer der Amazon-Cloud

Die Ransomware-Szene hat mit einem neuen Angriff namens Codefinger eine der sicherlich originellsten und gefährlichsten Kampagnen der letzten Zeit auf den Weg gebracht. Diese attackiert direkt die Nutzer des Amazon-Cloud-Dienstes AWS.

Bestmögliche Verschlüsselung

Der Angriff missbraucht dabei die serverseitige Verschlüsselung in den Cloud-Instanzen, die als SSE-C (Server-Side Encryption with Customer-Provided Keys) bekannt ist, um Daten zu verschlüsseln und anschließend ein Lösegeld für den Entschlüsselungs-Key zu fordern. Dies geht aus einem Bericht des Halcyon Threat Research Teams hervor.

Laut den Forschern von Halcyon macht die Integration der Ransomware in die sichere Verschlüsselungsinfrastruktur von AWS den Angriff besonders gefährlich. Einmal verschlüsselt, sei eine Wiederherstellung der Daten ohne den Schlüssel des Angreifers faktisch unmöglich. Halcyon warnt, dass Codefinger potenziell eine systemische Bedrohung für Unternehmen darstellt, die AWS S3-Buckets zur Speicherung kritischer Daten nutzen.


"Im Gegensatz zu herkömmlicher Ransomware, die Dateien lokal oder während der Übertragung verschlüsselt, greift Codefinger direkt auf die Verschlüsselungsinfrastruktur von AWS zu", so die Forscher. SSE-C ist dabei durch jahrelange Praxis bewährt, während viele andere Ransomware-Trojaner ausgehebelt werden konnten, weil ihre Entwickler schlicht nicht in der Lage waren, eine sichere Kryptografie umzusetzen.

Unter Druck

Der Angriff basiert nicht auf einer Sicherheitslücke in der AWS-Infrastruktur, sondern auf dem Diebstahl von Zugangsdaten durch Phishing, Hacking oder andere Methoden. Wenn die Daten verschlüsselt sind, bauen die Angreifer zusätzlichen Druck auf, indem sie die Daten mit der S3-Objekt-Lebenszyklus-API markieren. Ohne weiteres Zutun sorgt dies für eine automatische Löschung nach sieben Tagen.

Amazon betonte in einer Stellungnahme, dass das Unternehmen einen geteilten Verantwortungsansatz verfolgt. Dies bedeutet, dass man als Dienstleister keinesfalls die komplette Verantwortung übernimmt - insbesondere nicht dann, wenn die Kunden selbst für das Abhandenkommen ihrer Zugangsdaten sorgten.


Siehe auch: