Onderzoekers bouwen botnet van gratis clouddiensten
Onderzoekers hebben via verschillende gratis clouddiensten een botnet gebouwd, dat voor het uitvoeren van poortscans en het delven van bitcoins zou kunnen worden gebruikt. Voor het registreren van de clouddiensten en virtuele machines gebruikten de onderzoekers allerlei gratis e-mailadressen.
Op deze e-mailadressen kwamen de registratielinkjes voor de clouddiensten binnen, die vervolgens werden bevestigd. Het gehele proces hadden de onderzoekers geautomatiseerd, waardoor ze vrij eenvoudig over honderden virtual machines beschikten. Het probleem wordt vooral veroorzaakt door ontbrekende verificatie, zo meldt Darkreading.
Van de 150 geteste platform-as-a-service (PaaS) en infrastructure-as-a-service (IaaS) diensten bleek dat tweederde geen CAPTCHAs, sms-verificatie of creditcardverificatie gebruikt. Het opgeven van een al dan niet tijdelijk e-mailadres is voldoende. Zonder aanvullende verificatiemaatregelen blijkt het kinderspel voor een aanvaller om gratis diensten te misbruiken.
Een grote cloudaanbieder is Amazon, die volgens de onderzoekers wel allerlei maatregelen heeft genomen om dit soort misbruik tegen te gaan. Zo moeten gebruikers bij het registreren een creditcardnummer, mobiel telefoonnummer en e-mailadres opgeven. Er zijn echter allerlei resellers die de diensten van Amazon leasen en vervolgens zelf aanbieden. Bij deze partijen ontbreekt de verificatie, waardoor het nog steeds mogelijk is om op eenvoudige wijze het Amazon cloudplatform te gebruiken.
;)
Overigens was ik dus in het bezit van een valide email, deed ik sms verificatie, had een een valide kredietkaart, en kon ik nog steeds niet bij amazon en ook niet bij azure een leuk gratis probeeraccount openen. Dat is dus tenminste één false positive. Of liever, twee. Wat wordt er hier nou precies voorkomen? En wat als die "nette" aanbieders nou eens "perongeluk" al die verzamelde data lekken? Dat is een reël risico, zelfs als klein, en je kan er donder op zeggen dat de informatie in zo'n lek onmiddelijk op de zwarte markt doorverkocht wordt. Wat is dan dus het netto te verwachten resultaat van deze "beveiligingsmaatregelen"? Welbeschouwd... negatief. Nuttig om dit aan te kaarten, heren "onderzoekers".
Het zat er natuurlijk al een poos aan te komen, gelukkig zijn we slechts zelden een target geweest vanuit 'overgenomen' Cloud diensten. Ten slotte worden die vooralsnog ingezet met een commercieel doel op een oneigenlijke manier.
Het blijkt te eenvoudig om andermans Cloud-diensten te infiltreren. Dat sluimert buiten EU grenzen al rustig voort. Vooral big data bronnen zijn reeds behoorlijk verziekt en worden ingezet en zelfs doorverkocht en op zijn minst gemanipuleerd.
Als ik ergens angst voor heb dan is het voor gemanipuleerde gegevens uit de Cloud. SAAS, een doodgeboren kindje met een waterhoofd, gevat in een te strak keurslijfje en gepropageerd als een eenheidsworst. Het is tijd dat we de volgende stap gaan maken en SAAS ombouwen tot 'distributed storage' en 'distributed computing' waarbij we privat clouds gaan beoordelen voor wat ze werkelijk waard zijn. Een zeer strenge encryptie is natuurlijk voorwaarde.
Al met al geen eenvoudig op te lossen probleem, alle pogingen ten spijt. Ik verwacht dat we van dit soort 'bumps' in 2014 zeker vaker zullen gaan horen.
(edit: spelfouten)
;)
Hee, een Jack Vance referentie, en van Navarth nog wel. Goed volk hier :)
Omdat een VM in de cloud veel meer bandbreedte ter beschikking heeft dan de gemiddelde eindgebruiker. Daarnaast heb je geen last van gebruikers die achter dat routertje of computertje zitten en op onderzoek uitgaan als het internet niet meer vooruit te branden is.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?