Von einem AirDrop in die Cloud: der lebende- off- the- Cloud-Angriff, der Millionen in Krypta geleert hat

Ein ausgeklügelter Angriff auf ein Kryptomoneda-Ökosystem-Unternehmen hat wieder betont, wie ein Eindringen, der in einem Entwickler-Personal-Gerät beginnt, zu leeren Portfolios für Millionen von Dollar in einer Cloud-Umgebung enden kann. Laut dem halbjährlichen Cloud-Drohungsbericht von Google Cloud, der einer mit Nordkorea verbundenen Gruppe mit mäßigem Vertrauen zugeschrieben wurde (unter den Akronymen wie der UNC4899 u.a.), kombinierte die Kampagne Sozialtechnik, Missbrauch persönlicher Transfermechanismen und Schwenktechniken des Anrufs Lebewesen Privilegien zu skalieren und Finanzlogik in der Produktion zu manipulieren ( H1 2026 Cloud Threat Horizon Bericht)

Der Punkt des Eintrags war einfach, aber effektiv: die Angreifer, die als Mitarbeiter eines Open Source-Projektes verkörpert wurden und es gelang dem Entwickler, eine scheinbar legitime komprimierte Datei herunterzuladen. Die gleiche Datei ging vom persönlichen Telefon zum Firmenteam über AirDrop und wurde innerhalb einer IA-gestützten Entwicklungsumgebung geöffnet. Der böswillige eingebettete Python-Code wurde dann ausgeführt und ein Binär implementiert, das das Kubernetes Kommandozeilentool imitierte und eine stille Hintertür zur Unternehmensmaschine bereitstellte.

Von dieser engagierten Maschine sammelten die Angreifer Sitzungen und Anmeldeinformationen zur Verfügung, um in die Cloud-Umgebung zu gelangen. In einer ersten Phase erkannten sie die Projekte und Dienste, die unterschnitten wurden, um eine kritischere Eingangstür zu finden: ein Basis-Host, der sie nach der Änderung von Attributen im Zusammenhang mit Multifaktor-Authentifizierung in Betonkapseln des Kubernetes-Clusters vertiefen ließ ( Was ist ein Basis-Host)

Die Art und Weise, wie die Betreiber ihre Präsenz und die Leichtigkeit, mit der sie innerhalb der Umgebung schwenken, zeigt, warum die Verteidiger über das Leben aus der Cloud sprechen: Sie modifizierten Bereitstellungskonfigurationen, so dass jedes Mal ein Pod erstellt wurde, wurde ein Bash-Befehl, der zum Herunterladen und Ausführen einer Backdoor fähig ist, automatisch ausgeführt. Gleichzeitig führten sie Änderungen in Ressourcen ein, die mit der CI / CD-Plattform verknüpft sind, um Token von Servicekonten auf den Protokollen aufzuzeichnen, so dass sie einen hohen Privileg-Token aneignen und es verwenden, um sich seitlich an Pods mit hohen Berechtigungen und privilegierten Ausführungsmodi zu bewegen.

Mit diesem privilegierten Zugang konnten die Angreifer dem Container entkommen und Beharrlichkeit in sensibler Infrastruktur bereitstellen. Sie konzentrierten sich später auf einen Workload, der Kundeninformationen gespeichert hat: Kennungen, Sicherheitskonfigurationen und Daten, die mit Portfolios verbunden sind. Dort extrahierten sie statische Anmeldeinformationen, die in Umgebungsvariablen waren und nutzten sie, um mit dem Cloud SQL Proxy mit der Produktionsdatenbank zu verbinden, wo sie Kontoänderungen (Password Restaurierung und MFA-Saatupdate) vorgenommen haben, um schließlich die Kontrolle über hochwertige Konten zu erhalten und mehrere Millionen digitale Assets zu entfernen.

Der Vorfall enthält mehrere Lektionen, die nicht neu sind, aber beharrlich: Personal-to-corporate Transfers (AirDrop, Bluetooth, unmanaged abnehmbare Mittel) weiterhin gefährliche Eingabevektoren sein; Container im privilegierten Modus ausgeführt verstärken potentielle Schäden; und die Handhabung von Geheimnissen im klaren Text oder in Umgebungsvariablen erleichtert weiterhin das Klettern und Exfiltration, wenn es in die falschen Hände fällt. Aus diesem Grund empfehlen die Autoren des Berichts einen eingehenden Ansatz, der Identitätskontrollen, Datenbrückenbeschränkungen und eine strikte Isolation in den Cloud-Laufzeiten kombiniert.

In der Praxis bedeutet dies, die Identität kontinuierlich zu validieren und phishing-resistente Faktoren zu verwenden, den P2P-Austausch auf Unternehmensgeräten einzuschränken oder zu deaktivieren, wobei zuverlässige Containerbilder und -politiken erforderlich sind, die verhindern, dass engagierte Knoten unautorisierte ausgehende Kommunikation herstellen. Es drängt auch, ungewöhnliche Prozesse innerhalb von Containern zu überwachen und Berechtigungen und Geheimnisse außerhalb von Umgebungsvariablen zu robusten und auditierbaren geheimen Managementlösungen zu migrieren. Um besser zu verstehen, wie der Zugriff auf Datenbanken aus verwalteten Umgebungen funktioniert, die offizielle Dokumentation der Cloud SQL Auth Proxy.

Die Cloud-Sicherheitsgemeinschaft hat auch Referenzmaterial, um Plattformen und Praktiken zu härten: Kubernetes offizielle Dokumentation der Sicherheits- und Pod-Politik ist ein guter Ausgangspunkt ( Kubernetes: Sicherheitskonzepte), und Bedrohungsrahmen wie der MITRE-Katalog helfen, mit bekannten Minderungen ( MITRE ATT & CK für Cloud)

Es ist auch nützlich, offizielle Empfehlungen zur sicheren Nutzung von Interdevice-Transfer-Funktionen zu überprüfen. Apple, zum Beispiel dokumentiert, wie AirDrop funktioniert und welche Kontrollen existieren, um seine Nutzung zu begrenzen, etwas relevant, wenn Sie das Risiko reduzieren möchten, dass eine schädliche Datei die Grenze zwischen persönlich und Arbeit überquert ( Apple-Unterstützung: AirDrop)

Diese Episode ist eine Einladung, die vertrauenswürdige Architektur in den Entwicklungs- und Betriebsteams neu zu denken: der Komfort der Verwendung von Codeassistenten und der Übertragung von Artefakten zwischen Geräten sollte nicht die Notwendigkeit für grundlegende Kontrollen löschen. Eine Kombination von kontextuellen Zugangsrichtlinien, robustem MFA, richtigem Geheimmanagement und Laufzeitsegmentierung kann die Angriffsfläche drastisch reduzieren aber es erfordert organisatorische Disziplin und kontinuierliche Sichtbarkeit über das, was in Clustern und Pipelines geschieht.

Diese staatlich motivierten Akteure greifen auf solche integrierten Techniken zurück - von der Social Engineering bis zur Manipulation von Einsatzgebieten in Kubernetes -, betont, dass die aktuellen Risikoszenarien hybrid und gekettet sind: eine kleine Vernachlässigung am Ende des Entwicklers kann, wenn die Schwächen der Cloud-Umgebung ausgenutzt werden, ein Multimillionendollar-Räubery werden. Vorbeugung ist, diese Ketten in all ihren Gliedern zu schließen und in Kontrollen zu investieren, die die seitliche Bewegung und die Ausdauer einmal im Inneren behindern.