Das .env- oder .git-Dateien ein Sicherheitsrisiko darstellen, sollten sie versehentlich offengelegt werden, ist bekannt. Nutzer wissen dies ebenfalls und setzen daher Web-Crawler auf der Suche nach solchen offengelegten Dateien im Stammordner von Domänen ein. Das Ausmaß des aufgedeckten AWS-Hacks lässt jedoch vermuten, dass solche Fehlkonfigurationen nach wie vor weit verbreitet sind.

Ausgabe per Windows

So versuchten die Angreifer, nachdem sie eine privilegierte IAM-Rolle erstellt hatten, Infrastrukturstapel mit EC2- und AWS-Lambda-Ressourcen zu erstellen. Während die Erstellung von EC2-Instanzen fehlschlug, gelang es ihnen, mehrere Lambda-Funktionen mit der neuen IAM-Rolle zu erstellen. Diese Funktionen nutzten ein Bash-Skript, das nach exponierten .env-Dateien suchte, Anmeldedaten extrahierte und in einen zuvor kompromittierten öffentlichen S3-Bucket hochlud. Das Skript zielte insbesondere auf Mailgun-Anmeldedaten ab.

Die Forscher entdeckten, dass die Angreifer über 230 Millionen Ziele nach unsicher konfigurierten .env-Dateien durchsucht hatten. Ein solches Ausmaß weist auf eine groß angelegte automatisierte Aktion hin.