Recentemente, uma nova ameaça de ransomware, conhecida como Codefinger, tem explorado vulnerabilidades nos serviços de armazenamento da Amazon Web Services (AWS), especificamente nos buckets S3. Utilizando a criptografia do lado do servidor com chaves fornecidas pelo cliente (SSE-C), o malware está criptografando dados e exigindo resgates para fornecer a chave de descriptografia AES-256.
A equipe de segurança da Halcyon identificou pela primeira vez a atividade do grupo em dezembro e relatou dois ataques recentes contra desenvolvedores de software que utilizam a AWS. O diferencial dessa tática está no uso inédito da própria infraestrutura de criptografia da AWS, aproveitando-se de chaves expostas ou comprometidas.
Os criminosos configuram os arquivos criptografados para exclusão automática em até sete dias, utilizando a API de gerenciamento de ciclo de vida de objetos do S3. Além de bloquear os dados, essa abordagem adiciona um elemento de pressão às vítimas, sem a ameaça usual de vazar informações.
As vítimas recebem notas de resgate em cada diretório afetado, contendo um endereço Bitcoin e um ID de cliente associado aos dados. A mensagem avisa que qualquer alteração nas permissões ou arquivos encerrará as negociações.
Tim West, da Halcyon, alertou sobre os riscos dessa abordagem, que pode representar uma ameaça sistêmica para organizações que dependem do AWS S3. Ele recomenda restringir o uso do SSE-C através de políticas específicas no IAM, além de realizar auditorias regulares e rotacionar chaves ativas para mitigar o risco.
A AWS, em resposta, afirmou que notifica clientes ao identificar chaves expostas e aplica políticas de quarentena para minimizar danos. A empresa recomenda o uso de suas ferramentas de segurança, como funções do IAM e o AWS Security Token Service, que permitem gerenciar credenciais de forma segura e evitar a exposição a ataques.
A abordagem do Codefinger é uma evolução preocupante no cenário de ransomware, unindo recursos legítimos de segurança à extorsão de dados. Empresas que utilizam a AWS precisam reforçar seus controles de segurança para proteger suas infraestruturas críticas e evitar perdas de dados.
