Шкідливе ПЗ PCPJack використовує 5 CVE для крадіжки хмарних облікових даних
Нещодавно виявлений фреймворк для крадіжки облікових даних під назвою PCPJack поширюється по відкритій хмарній інфраструктурі, ланцюжком використовуючи п'ять невиправлених вразливостей, масово збираючи дані для входу та здійснюючи латеральне переміщення мережами у спосіб, що нагадує поведінку класичного хробака. Дослідники позначили його як суттєву ескалацію шкідливого ПЗ для крадіжки хмарних облікових даних, і наслідки виходять далеко за межі окремих організацій — під загрозою опиняються віддалені працівники, підрядники та всі, хто покладається на спільні хмарні середовища.
Як PCPJack збирає та виводить хмарні облікові дані
PCPJack функціонує як модульний фреймворк, побудований на основі шести компонентів Python, кожен з яких відповідає за окремий етап атаки. Отримавши точку опори на відкритій системі, він починає збирати облікові дані, збережені у конфігураційних файлах, змінних середовища та кешованих маркерах автентифікації. Саме такими обліковими даними хмарні сервіси зазвичай користуються для автентифікації між компонентами, і вони нерідко зберігаються у незашифрованому або недостатньо захищеному вигляді в середовищах розробки та тестування.
Після збору викрадені облікові дані виводяться на інфраструктуру, підконтрольну зловмисникам. Особливу агресивність PCPJack надає те, що він не зупиняється на цьому. Використовуючи зібрані облікові дані, він намагається здійснити латеральне переміщення, зондуючи підключені сервіси та системи в пошуках додаткового доступу. Це створює ефект наростаючого ризику: один скомпрометований вузол може стати плацдармом для значно масштабнішого вторгнення в хмарне середовище організації.
Шкідливе ПЗ також активно видаляє сліди конкуруючої загрози під назвою TeamPCP, фактично виганяючи попереднього зловмисника з метою отримання виключного контролю над зараженою інфраструктурою. Така конкурентна поведінка свідчить про те, що оператори PCPJack достатньо кваліфіковані, щоб розглядати хмарні системи як постійні активи, які варто захищати.
Які хмарні сервіси та CVE експлуатуються
PCPJack в цілому націлений на відкриту хмарну інфраструктуру, зосереджуючись на сервісах, де облікові дані доступні через неправильну конфігурацію або затримку з встановленням патчів. Фреймворк використовує п'ять задокументованих CVE для отримання початкового доступу або підвищення привілеїв після проникнення в мережевий периметр. Хоча конкретні ідентифікатори CVE ще перевіряються у різних публікаціях з безпеки, дослідники зазначають, що для всіх п'яти вразливостей патчі були доступні ще до розгортання PCPJack. Це повторювана закономірність в атаках на хмарні середовища: зловмисники покладаються не на zero-day-експлойти, а на розрив між доступністю патча та його фактичним застосуванням.
Ця динаміка відображає те, як крадіжка облікових даних ескалує в інших ланцюжках атак. Фішингова кампанія, розкрита Microsoft, що торкнулася 35 000 користувачів у 13 000 організацій, так само використовувала скомпрометовані маркери автентифікації, що ілюструє: викрадені облікові дані слугують універсальним ключем до взаємопов'язаних сервісів.
Чому відкрита хмарна інфраструктура є першопричиною вразливості
Ефективність PCPJack меншою мірою пов'язана з технічною складністю і більшою — з наявністю можливостей. Хмарні середовища часто розгортаються швидко, а налаштування безпеки не встигають за операційними потребами. Сервіси з виходом в інтернет, некоректно обмежені дозволи сервісних облікових записів і облікові дані, збережені у відкритому вигляді у файлах середовища, — усе це створює умови, які такі інструменти, як PCPJack, і призначені використовувати.
Віддалена робота посилила цей ризик. Розробники та інженери, які отримують доступ до хмарних консолей із домашніх мереж, використовують особисті пристрої або переходять між проєктами без формальних процедур відключення доступу, — всі вони сприяють формуванню розгалуженої, складної для аудиту поверхні атаки. Проблема гігієни облікових даних не нова, але PCPJack демонструє, наскільки ефективно її можна використати у масштабі, поєднавши з автоматизованим поширенням на кшталт хробака.
Варто зазначити, що атаки, спрямовані на облікові дані, не потребують найсучасніших технік вторгнення, щоб завдати серйозної шкоди. Як показали інциденти, зокрема злом дочірньої компанії IBM в Італії, пов'язаний із держспонсорованими операціями, щойно зловмисник отримує дійсні облікові дані, він може пересуватися системами, маскуючись під легітимний трафік.
Багаторівневий захист: VPN, Zero Trust та управління обліковими даними
Захист від такої загрози, як PCPJack, вимагає одночасного усунення як вектора використання вразливостей, так і проблеми відкритості облікових даних.
По-перше, управління патчами для сервісів, орієнтованих на хмару, не може вважатися необов'язковим або відкладеним. Усі п'ять CVE, які використовує PCPJack, мали виправлення ще до розгортання шкідливого ПЗ. Дотримання своєчасного графіка встановлення патчів, особливо для сервісів з виходом в інтернет, безпосередньо зменшує поверхню атаки.
По-друге, організації мають провести аудит способів зберігання та обмеження облікових даних у своїх хмарних середовищах. Сервісні облікові записи повинні відповідати принципу найменших привілеїв, а секрети — зберігатися у спеціалізованих сховищах, а не у файлах середовища чи репозиторіях коду. Регулярна ротація облікових даних та анулювання невикористовуваних маркерів обмежують цінність усього, що PCPJack може вкрасти.
По-третє, прийняття моделі безпеки Zero Trust змінює базове припущення про те, що внутрішній мережевий трафік є надійним. Відповідно до Zero Trust, кожен запит на доступ — незалежно від того, чи надходить він від користувача-людини або сервісного облікового запису — має бути автентифікований та авторизований відповідно до визначених політик. Ця архітектура суттєво обмежує латеральне переміщення, на яке PCPJack покладається для розширення своєї присутності після початкового доступу.
Нарешті, VPN можуть зменшити пряму відкритість інтерфейсів управління хмарою, забезпечуючи маршрутизацію адміністративного доступу через контрольовані, автентифіковані тунелі, а не відкриті інтернет-з'єднання. Це не усуває всі ризики, але суттєво підвищує планку для отримання початкового доступу.
Що це означає для вас
Якщо ваша організація розміщує робочі навантаження в хмарі, PCPJack є прямим нагадуванням про те, що відкриті сервіси та невиправлені вразливості — це не абстрактні ризики. Вони є активними цілями. Навіть менші підприємства, що використовують хмарні платформи для зберігання, розробки або інтеграцій SaaS, можуть мати викрадені облікові дані, якщо конфігурації не переглядаються регулярно.
Для осіб, які працюють віддалено та отримують доступ до корпоративних хмарних ресурсів, ризик є спільним. Слабкі практики автентифікації або облікові дані, кешовані на особистих пристроях, можуть стати точками входу до більших організаційних мереж.
Конкретні кроки для вжиття заходів:
- Проведіть аудит усіх хмарних сервісів з виходом в інтернет і застосуйте наявні патчі, зокрема для п'яти категорій CVE, на які націлений PCPJack.
- Перемістіть облікові дані та API-ключі з файлів середовища до спеціалізованих інструментів управління секретами.
- Впровадьте багатофакторну автентифікацію для всіх консолей хмари та доступу до сервісних облікових записів.
- Оцініть готовність вашої організації до Zero Trust, зокрема щодо засобів контролю латерального переміщення та автентифікації між сервісами.
- Використовуйте VPN-тунелі для обмеження адміністративного хмарного доступу до автентифікованих, контрольованих мережевих шляхів.
Шкідливе ПЗ для крадіжки хмарних облікових даних стає дедалі більш автоматизованим і руйнівним. Оцінити власну відкритість зараз значно дешевше, ніж реагувати на злом після його виявлення.
