AntiFox 연관 AWS 침해: 거부된 API 요청 사이의 성공 기록 확인하기

Arctic Wolf Labs는 11월 10일 보고서에서 AntiFox 인터페이스를 운영하는 인프라와 연관된 AWS 침해를 기록했다. 일부 활동에서는 프로덕션 환경의 비밀 값을 가져오는 GetSecretValue 호출이 성공했다. 대부분의 API 요청이 AccessDenied로 끝났다는 사실만으로 전체 접근이 차단됐다고 판단할 수는 없다. 공식 조사 보고서

관측된 접근과 밝혀지지 않은 경로

한 침해에서 공격자는 같은 출발지에서 여러 AWS 신원을 바꿔 썼다. 약 30분 동안 수백 건의 API 요청을 보냈고 거부된 요청 사이에 성공한 탐색과 비밀 접근이 섞여 있었다.

보고서는 IIS 웹 애플리케이션의 침해도 다룬다. 조사팀은 w3wp.exe가 웹 셸을 만들고 설정 파일을 읽는 활동을 관측했다. 다만 코드 실행에 쓰인 취약점은 특정하지 못했다. 다른 활동은 입수 경로를 모르는 유효한 AWS 자격 증명에서 시작했다. 모든 AWS 접근이 IIS에서 훔친 키로 이어졌다고 단정할 근거는 없다. 이 내용은 조사팀의 관측이며 독립적으로 재현한 결과는 아니다. 원문 관측 기록

비밀 조회 권한과 로그의 범위

AWS 문서에 따르면 GetSecretValue는 저장된 비밀 값을 반환한다. 호출자는 secretsmanager:GetSecretValue 권한이 필요하다. 고객 관리 KMS 키로 암호화한 비밀이라면 해당 키의 kms:Decrypt 권한도 필요하다. 개발팀은 애플리케이션 신원에 허용한 비밀 조회 범위와 KMS 권한을 함께 점검할 수 있다. GetSecretValue API 문서

Secrets Manager는 이 호출을 CloudTrail에 기록하지만 비밀 값인 SecretString과 SecretBinary는 CloudTrail 로그에 넣지 않는다. 로그로 호출을 조사하는 일과 비밀 값 자체를 확인하는 일은 구분해야 한다. 응답 필드와 로그 제외 조건

운영팀이 확인할 기록

Arctic Wolf는 낯선 인프라에서 발생한 성공한 비밀 조회를 살피라고 권고한다. 특히 앞선 광범위한 서비스 탐색이나 접근 거부와 함께 확인하도록 안내한다. 이 권고를 적용한다면, 거부 건수만 집계하는 화면에 성공한 비밀 조회 기록도 함께 표시할 수 있다. 방어 권고

AWS는 CloudTrail 이벤트 기록에서 최근 90일을 확인할 수 있다고 설명한다. 조회할 때는 사건이 발생한 리전을 선택해야 한다. Secrets Manager 이벤트는 이벤트 소스 secretsmanager.amazonaws.com으로 좁힐 수 있다. 계속 기록을 보관하려면 추적을 만들어 S3로 로그를 전달하도록 구성한다. CloudTrail 확인 절차