„Greeter“: Angriffskampagne nutzt ungepatchte Flowise-Instanzen für Cloud-Einbrüche

Ausgangspunkt war eine explorative Suche über die Suchmaschine Shodan nach offen erreichbaren Cloud-Instanzen. Dabei stießen die Forscher auf ungeschützte Amazon-DynamoDB-Instanzen, deren Daten jeder herunterladen oder vollständig löschen konnte. Bei weiteren Untersuchungen fanden sie damit verbundene Flowise-Installationen. Mit der Open-Source-Plattform lassen sich KI-Agenten erstellen, die auf großen Sprachmodellen (LLMs) basieren.

Von den knapp 3.000 untersuchten Flowise-Installationen liefen rund 90 Prozent mit ungepatchten Versionen, die für die kritische Code-Injection-Schwachstelle CVE-2024-58351 anfällig sind. Die Forscher gingen davon aus, dass Angreifer diese Systeme ebenso leicht finden würden wie sie selbst. Deshalb setzte Era Security KI-gestützte Honeypots auf, überwiegend bei Amazon Web Services (AWS), um die Angreifer bei der Arbeit zu beobachten. Nach Angaben des Teams hat sich die Honeypot-Technik stark verändert: Angreifer bemerken heute erst sehr spät, dass sie sich in einer Falle befinden. Früher habe der Aufbau eines realistischen Honeypots drei bis vier Monate gedauert, heute seien es zwei Stunden.

„Die wichtigste Erkenntnis war nicht die Ausnutzungstechnik selbst, sondern das, was danach geschah“, sagte Naor Talmor, Chief Technology Officer von Era Security. Die Angreifer gingen nach einer wiederholbaren, mehrstufigen Methode vor:

• Sie ermittelten Berechtigungen und kartierten die Umgebung.
• Sie suchten nach Zugangsdaten.
• Sie nutzten die Metadatendienste mehrerer Cloud-Anbieter, um ihre Zugriffsrechte auszuweiten.
• Sie richteten eine dauerhafte Präsenz ein.

Um ihre Aktivitäten zu verschleiern, hinterließen die Täter scheinbar harmlose und flüchtige „hello“-Nachrichten in den Protokollen. Das erschwert die Erkennung, weil Sicherheitsteams gezielt nach bestimmten Kompromittierungsindikatoren in den Logs suchen müssen. Auf diese Grußbotschaften geht der Name „Greeter“ zurück.

Nach Einschätzung der Forscher handelt es sich weder um einen opportunistischen Schnellangriff noch um einen Skript-Kiddie oder jemanden, der zufällig auf die Honeypots gestoßen ist. Dafür sprechen die ausgefeilten Techniken und die Hartnäckigkeit der Angreifer. Zudem lief die Kampagne gleichzeitig in mehreren AWS-Regionen, was auf größere Reichweite und klare Absicht hindeutet. Die Zahl von 46 bestätigten Opfern ermittelte Era Security anhand nicht authentifizierter Instanzen, die die gleichen Bedingungen aufwiesen wie die Honeypots. Mindestens die Hälfte davon ist nach Schätzung des Teams weiterhin mit dem Internet verbunden und sichtbar. Der Aufwand hinter Greeter zeige, wie wertvoll die Angriffsfläche aus Cloud und KI inzwischen geworden sei, so die Forscher. Leicht zu erreichende Ziele seien das nicht gewesen.

Ziel der Angreifer war auf jeder Instanz, Cloud-Zugangsdaten zu erbeuten und sich damit innerhalb der jeweiligen Organisation seitlich weiterzubewegen. Die Angriffsprotokolle zeigen außerdem, dass die Täter KI einsetzen, um Code zu schreiben oder Angriffsschritte zu orchestrieren. Dadurch fällt es ihnen leichter, in Arbeitsabläufen unbemerkt zu bleiben.

Die Forscher ordnen die Kampagne in eine längere Entwicklung ein. Vor rund zehn Jahren richteten sich Cloud-Angriffe gegen die Docker-API. Später gingen Angreifer dazu über, Workloads auszunutzen, aus Containern auszubrechen, um an den darunterliegenden Metadatenserver der Cloud zu gelangen, und von dort Dienstkonten zu missbrauchen. Dieses Muster sei im Kern gleich geblieben. Neu sei, dass KI-Infrastruktur nun als Einstiegspunkt für eine dauerhafte Präsenz dient.

Die Zuordnung zu einem Urheber bleibt schwierig. Bei der Analyse von Code und Techniken stießen die Forscher auf chinesische Schriftzeichen, räumen aber ein, dass es sich um eine falsche Fährte handeln könnte. Ein staatlicher Akteur sei dennoch plausibel: Eine derart vollständige Orchestrierung könne nicht einmal eine große Cybercrime-Gruppe umsetzen, so Era Security.

Die Forscher betonen zudem, dass Schwachstellen heute so schnell ausgenutzt werden wie nie zuvor. Das setze die herkömmlichen Patch-Zyklen von Organisationen stark unter Druck. In den vergangenen Wochen hätten Sicherheitsteams etwa bei PHP2Shell und OpenSSH unter Zeitdruck Fehler beheben und ihre Workloads einzeln nach Lücken durchsuchen müssen. Greeter zeige jedoch, dass die Herausforderung für die Cloud-Sicherheit größer ist als jede einzelne Schwachstelle.

Talmor rät, grundsätzlich von einer bereits erfolgten Kompromittierung auszugehen. Fehle eine Schwachstelle als Einfallstor, könnten es geleakte Zugangsdaten oder eine offen erreichbare API sein. Sicherheitsprogramme für die Cloud müssten auf all diese Fälle vorbereitet und nach dem Prinzip der gestaffelten Verteidigung (Defense in Depth) aufgebaut sein. Dabei setzen die Forscher auf ein mehrschichtiges Modell aus Netzwerkzugangskontrolle, Datenschutz und Identitätssicherheit. „Viele Unternehmen übernehmen das, aber sie leben es nicht wirklich“, sagte Talmor.

Für die Erkennung empfehlen die Forscher konkrete Maßnahmen:

• Aktivitäten zur Erkundung der Umgebung überwachen, um Lücken zu schließen, bevor Angreifer sie finden.
• Bei der Installation von Anwendungen oder Chat-Werkzeugen die Protokollierung einschalten und die Logs an einen separaten Ort streamen. So bleiben sie in der Cloud erhalten, auch wenn Angreifer den lokalen Verlauf eines Geräts löschen.
• Kritische Umgebungen besonders eng überwachen, vor allem dort, wo die wertvollsten Daten oder geschäftskritische Anwendungen liegen. Je nach Größe könne eine Organisation Dutzende oder Hunderte Konten haben.

„Um es klar zu sagen: Wir sagen nicht, dass man sich nicht mehr um Fehlkonfigurationen oder Schwachstellen kümmern soll“, betonte Talmor. Beim Patch-Management handle es sich aber um ein Spiel, „das wir verlieren“. Organisationen müssten ihre Umgebung deshalb Schicht für Schicht absichern.