Злоумышленники проверяют украденные ключи AWS на доступ к моделям Amazon Bedrock

Логика здесь простая. Владелец скомпрометированного аккаунта может месяцами не замечать утечки. Поэтому злоумышленник сначала убеждается, что доступ рабочий, а затем выясняет, на что именно он способен. Раньше эту схему применяли к почтовым и SMS-сервисам AWS: атакующий проверял лимиты отправки писем и статус тестовой среды, чтобы понять, пригоден ли аккаунт для массовых рассылок. Теперь тот же приём используют против вычислительных ресурсов для работы с языковыми моделями.

По данным Datadog Security Labs, за последние 30 дней признаки подобного поведения зафиксированы у двенадцати организаций. Инфраструктура KMON_NOC сканировала и проверяла учётные данные более чем у восьмидесяти клиентов облачной системы мониторинга Datadog, что говорит о широком размахе поиска. В большинстве случаев злоумышленники пытались получить список доступных моделей в нескольких регионах, но дальше этой проверки не шли. В одном эпизоде попытки оказались успешнее: после перечисления моделей последовали запросы на их запуск, однако система отклонила обращения к моделям компании Anthropic.

Разбор публично доступного кода панели KMON_NOC показал, что её интерфейс намеренно заточен под работу с Amazon Bedrock. В нём есть отдельные поля, фильтры и счётчики, которые выделяют учётные данные с доступом к этим моделям среди остальных. Сначала платформа проверяет подлинность ключа, а затем проводит дополнительную проверку на доступ к моделям. Такое разделение говорит о том, что владельцы площадки считают подобные ключи самостоятельной и более дорогой категорией товара. Панель сама подсказывает покупателю, сколько именно ключей с доступом к моделям найдено, сколько из них рабочих и сколько всего.

Интерес к моделям объясняется экономикой. Обращение к коммерческим языковым моделям стоит дорого, и на этом вырос целый рынок перепродажи доступа. Сторонние посредники запускают промежуточные сервисы, которые обращаются к моделям через чужие легитимные учётные данные и продают вычислительную мощность дешевле официальной цены. Такой бизнес невозможен без постоянного притока украденных ключей, которые можно менять и передавать между пользователями. Исследование Unit 42, посвящённое перехвату токенов авторизации, подтверждает: спрос на похищенные данные устойчив и не сводится к личному использованию одним злоумышленником.

KMON_NOC - не единственный инструмент подобного рода. Ранее были описаны ещё две платформы для сбора учётных данных, нацеленные на облачные и ИИ-сервисы. Их авторы действовали по той же схеме: сначала проверяли личность владельца ключа, затем получали список доступных моделей и пробовали запустить несколько из них. Отличался лишь способ обращения к моделям, но цель оставалась неизменной - понять, что можно выжать из конкретного набора ключей. Примечательно, что такие площадки создают непрофессионалы: часть из них написана на скорую руку и содержит грубые ошибки в логике.

Отдельно на VirusTotal найдены два независимых скрипта на языке Python, которые тоже проверяют украденные ключи AWS на доступ к моделям Bedrock. Оба обрабатывают списки учётных данных, определяют их владельцев, тестируют работу моделей в разных регионах и сохраняют успешные ключи в открытом виде. Один из скриптов дополнительно умеет запрашивать сведения о промо-кредитах через биллинговый сервис AWS. Это позволяет оценить не только работоспособность доступа, но и его потенциальную денежную ценность для покупателя. Второй скрипт такой возможности лишён, поэтому служит исключительно для технической проверки.

Любопытная деталь - комментарии в коде одного из скриптов. По мнению авторов анализа, избыточная подробность пояснений указывает на то, что инструмент, вероятно, написан с помощью самой языковой модели. Автор пространно объясняет, почему не передаёт в запросе отдельный параметр: новые версии моделей Claude его не принимают, и обращение отклоняется с ошибкой, хотя модель на самом деле доступна. Отдельный режим работы скрипта посвящён проверке доступа именно к моделям Anthropic Claude, что говорит о повышенном внимании к ним. Чтобы не тратить лишние деньги, автор ограничил длину ответа модели несколькими словами и выбрал для тестов самые дешёвые модели.

С точки зрения защиты картина выглядит так. Неожиданная активность вокруг Amazon Bedrock, особенно со стороны нового источника или учётной записи, которая раньше не работала с ИИ-сервисами, заслуживает проверки. Украденные ключи могут пустить в дело не сразу, а спустя недели, поэтому важно следить за поведением аккаунтов и своевременно ограничивать лишние права. Чем раньше заметят аномалию, тем меньше окажется итоговый счёт за чужие вычисления. Слабая попытка проверки доступа часто предшествует куда более дорогой атаке, и сдержать её на раннем этапе дешевле, чем разбираться с последствиями.