新たに報告されたクラウド侵入事例により、攻撃者が1つの流出したAWS認証情報を、いかにして高収益なAI悪用オペレーションへと変えてしまうかが明らかになりました。攻撃者はAmazon Bedrockの高性能な基盤モデルへのアクセス権を乗っ取り、その推論コストを被害組織に請求させていました。
FortiGuard Labsのセキュリティ研究者は、この手口を「LLMjacking」と表現しています。これは、侵害したクラウド認証情報を悪用して高額な大規模言語モデル(LLM)サービスにアクセスし、それを転売する行為を指します。
暗号資産マイニングやデータ窃取とは異なり、攻撃者は標的組織がクラウドプロバイダーと既に結んでいる契約関係そのものを収益化の手段としています。
この事件は、AdministratorAccess権限を持つ長期有効なAWSのIdentity and Access Management(IAM)アクセスキーから始まりました。この権限は、AWSのIDに付与されうる中で最も広範な権限です。盗まれたキーを使うことで、攻撃者は高い権限を持つアカウント所有者として振る舞うことが可能になっていました。
研究者らは、脅威アクターが侵害されたAWS環境内に新規のIAMユーザーを作成する様子を確認しました。これにより、当初流出したキーに継続的に依存することなく、後続の活動に使用できる新たなIDが用意されたことになります。
攻撃者はAWS Marketplaceのagreementサービスに対してCreateAgreementRequestおよびAcceptAgreementRequestの呼び出しを行い、高性能モデルへのアクセスに必要な商用利用規約に同意していました。
この契約が有効になると、攻撃者はモデルの呼び出しを開始し、推論コストを発生させました。これらの費用はすべて被害組織に全額請求されていました。
関連する一部の侵入事例では、攻撃者は新規作成したIAMユーザー向けにAmazon Bedrockのサービス固有APIキーも作成していました。これにより、モデル呼び出しのための追加の経路が確保され、通常のIAM認証情報のみに依存する場合と比べて活動が発覚しにくくなる可能性があります。
金銭的な被害は深刻なものとなり得ます。FortiGuard Labsによると、Claude 2.xのような高性能モデルの不正利用では、1日あたり46,000ドルを超える費用が発生する可能性があるとのことです。Claude 3 Opusを含むさらに高額なモデルへのアクセスを攻撃者が得た場合、コストは1日あたり100,000ドルを超えることもあります。
FortiGuard Labsの発表によると、侵害によって得られたAIアクセス権は、TelegramやDiscordで宣伝される低価格のチャットボットのサブスクリプションを通じて転売されることが多いとのことです。Operation Bizarre Bazaarと名付けられた一連の活動では、30以上のLLMプロバイダーにまたがる35,000件を超える攻撃セッションが確認されています。
このため、LLMjackingは、私たちがよく知る従来のクラウド攻撃とは根本的に性質が異なります。その目的は必ずしも永続的な侵入の確保やランサムウェアの展開、データの窃取ではなく、高額なAI計算資源を不正に消費し、それを転売することにあります。
この活動は、適切な権限を持つ正規のAWS認証情報からリクエストが発信されるため、ネットワーク層・API層のいずれにおいても正当な操作に見えてしまいます。マルウェアのシグネチャや不審なエクスプロイトのペイロード、本質的に悪意のあるコマンドは一切必要とされません。
その結果、防御側が複数のイベントを相関分析しない限り、従来型の監視ではこの侵入を見逃してしまう可能性があります。
Bedrockの初回呼び出しそのものは、必ずしも不審な兆候とは言えません。しかし、新規作成されたIAMユーザー、見慣れない送信元IPアドレス、AWSサービスの列挙、異常な権限変更、あるいはアクセス拒否エラーの急増といった事象と併せて確認された場合には、調査すべき対象となります。
組織はすべてのアカウントでAWS CloudTrailを有効化し、ID作成、認証情報の変更、Marketplaceのサブスクリプション活動、API呼び出しを再構築できるようにしておくべきです。
また、可能な場合はBedrockのモデル呼び出しログも有効化すべきです。これにより、CloudTrailだけでは把握できないリクエスト単位の詳細情報を取得できます。
有効期限のない広範な権限を持つIAMキーは、重大なリスクとなります。有効期限のない管理者権限の認証情報を、短期間のみ有効なロール引き受け方式によるアクセスに置き換えることで、攻撃者が1つの漏洩キーを高額なAI詐欺オペレーションへと転用する機会を大幅に減らすことができます。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/hackers-abuse-leaked-aws-iam-keys/
