Hedeflenen bir kampanya, IMDSV1 uç noktasından Kimlik ve Erişim Yönetimi (IAM) kimlik bilgilerini içerebilecek EC2 meta verilerini çıkarmak için AWS EC2 örneklerinde barındırılan web sitelerindeki sunucu tarafı istek ampulge (SSRF) güvenlik açıklarından yararlandı.
IAM kimlik bilgilerini almak, saldırganların ayrıcalıklarını artırmasına ve S3 kovalarına erişmesine veya diğer AWS hizmetlerini kontrol etmesine olanak tanır, bu da potansiyel olarak hassas veri maruziyetine, manipülasyonuna ve hizmet kesintisine yol açar.
Kampanya, 13-25 Mart 2025 arasında kötü niyetli etkinliğin sonuçlandığını bildiren F5 Labs araştırmacıları tarafından keşfedildi. Trafik ve davranış kalıpları, tek bir tehdit aktör tarafından gerçekleştirildiğini güçlü bir şekilde gösteriyor.
SSRF sorunları, saldırganların bir sunucuyu kendi adına dahili kaynaklara HTTP istekleri yapmaya "kandırmasını" sağlayan web kusurlarıdır ve bu da genellikle saldırgan tarafından erişilemiyor.
F5 tarafından gözlemlenen kampanyada, saldırganlar SSRF kusurlarıyla EC2'de barındırılan web sitelerini buldular ve dahili EC2 meta veri URL'lerini uzaktan sorgulamalarına ve hassas veriler almalarına izin verdiler.
EC2 meta verileri Amazon EC2'de (Elastik Compute Cloud) AWS'de çalışan bir sanal makine hakkında bilgi sağlayan bir hizmettir. Bu bilgiler yapılandırma ayrıntılarını, ağ ayarlarını ve potansiyel olarak güvenlik kimlik bilgilerini içerebilir.
Bu meta veri hizmeti, sanal makine tarafından yalnızca http://169.254.169.254/latest/meta-data/ gibi dahili IP adreslerinde özel URL'lere bağlanarak erişilebilir.
İlk kötü amaçlı SSRF probu 13 Mart'ta kaydedildi, ancak kampanya 15 ve 25 Mart arasında tam ölçeğe yükseldi ve Fransa ve Romanya'da bulunan birkaç FBW Networks SAS IPS kullandı.
Bu süre zarfında, saldırganlar altı sorgu parametre adını (Dest, Dosya, Yönlendirme, Hedef, URI, URL) ve dört alt yol (örn., /Meta-veri /, /kullanıcı verileri) döndürdü ve hassas verilerin savunmasız sitelerden eksfiltrasyonunda sistematik bir yaklaşım gösterdi.
Saldırılar, savunmasız örnekler, AWS'nin eski meta veri hizmeti olan IMDSV1'de çalıştığı için, örneğe erişimi olan herkesin depolanan IAM kimlik bilgileri de dahil olmak üzere meta verileri almasına izin verdiği için çalıştı.
Sistemin, web sitelerini SSRF saldırılarından korumak için oturum belirteçleri (kimlik doğrulama) gerektiren IMDSV2'nin yerine geçti.
Bu saldırılar, F5 Labs'ın geçen ay için en çok sömürülen güvenlik açıklarını belgelediği Mart 2025 Tehdit Trendleri raporunda vurgulandı.
Hacim ile en çok sömürülen ilk dört CVE:
Rapor, daha eski güvenlik açıklarının yüksek hedefli kaldığını ve sömürülen CV'lerin% 40'ının dört yaşından büyük olduğunu vurguluyor.
Tehditleri azaltmak için mevcut güvenlik güncellemelerinin uygulanması, sertleştirici ve IoT cihaz yapılandırmalarının ve EOL ağ ekipmanlarını desteklenen modellerle değiştirmeniz önerilir.
14 metrelik kötü niyetli eylemlerin analizine dayanarak, saldırıların% 93'ünün ve bunlara karşı nasıl savunulacağının arkasındaki en iyi 10 MITER ATT & CK tekniklerini keşfedin.
En yeni IVANTI SSRF ZERO-DAY Şimdi kitlesel sömürü altında
Bilgisayar korsanları WordPress eklentisi Auth Bypass'ı açıklamadan saatler sonra kullanır
Yeni Superblack Fidye Yazılımı Susturits Fortinet Auth Bypass kusurları
Centrestack RCE, dosya paylaşım sunucularını ihlal etmek için sıfır gün olarak sömürüldü
Kim arıyor? Yapay zeka ile çalışan Vishing saldırıları tehdidi
Kaynak: Bleeping Computer