Tin tức bảo mật: Amazon SES bị lạm dụng nguy hiểm

Tin tức bảo mật về lạm dụng Amazon Simple Email Service (Amazon SES) cho thấy kẻ tấn công đang dùng hạ tầng email hợp lệ để phát tán phishing, vượt qua các bước kiểm tra thông thường như SPF, DKIM và DMARC. Đây là một dạng mối đe dọa mạng khó phát hiện ở lớp gateway vì email gửi ra có đầy đủ dấu hiệu xác thực hợp lệ.

Amazon SES bị lạm dụng trong chiến dịch phishing

Amazon SES là nền tảng cloud-based dùng để gửi email giao dịch và email marketing trong hệ sinh thái AWS. Khi bị chiếm dụng bằng khóa truy cập IAM bị lộ, dịch vụ này trở thành kênh gửi thư có uy tín cao, khiến các email phishing trông gần như giống hệt email hợp lệ.

Điểm đáng chú ý của tin bảo mật mới nhất này là email được gửi từ tài khoản hợp lệ nên thường có valid SPF, DKIM, DMARC. Thậm chí, phần Message-ID còn chứa chuỗi .amazonses.com, làm tăng độ tin cậy giả tạo đối với người nhận và hệ thống lọc thư.

Xem thêm tài liệu tham chiếu từ Amazon SES: Amazon SES Documentation.

Vì sao email vượt qua bộ lọc an ninh

Trong trường hợp này, email không dựa vào hạ tầng giả mạo mà tận dụng dịch vụ thật. Vì vậy, các cơ chế dựa trên reputation, blacklist IP hoặc kiểm tra xác thực cơ bản đều kém hiệu quả hơn bình thường. Việc chặn IP gửi cũng không khả thi vì sẽ ảnh hưởng đến toàn bộ email hợp lệ khác gửi từ Amazon SES.

Với lỗ hổng CVE này, không có CVE cụ thể hay mã khai thác theo nghĩa truyền thống. Vấn đề nằm ở việc lạm dụng dịch vụ hợp lệ và kiểm soát bảo mật tài khoản AWS yếu, thay vì một lỗi phần mềm có mã CVE và CVSS công bố.

Chuỗi tấn công và điểm xâm nhập

Điểm vào của chiến dịch thường là IAM access keys bị rò rỉ. Các khóa này có thể bị để lộ trong repository công khai trên GitHub, file ENV, Docker image hoặc S3 bucket không được bảo vệ.

Kẻ tấn công dùng công cụ quét tự động, bao gồm bot dựa trên TruffleHog, để tìm secret bị lộ trên các kho mã nguồn công khai. Khi phát hiện key, chúng kiểm tra quyền gửi mail và giới hạn gửi, sau đó phát tán phishing ở quy mô lớn.

Đây là một dạng xâm nhập trái phép thông qua lạm dụng danh tính hợp lệ. Email gửi đi có reputation sạch và đầy đủ authentication stamps, khiến việc phát hiện tấn công ở lớp cổng mail trở nên khó khăn.

Mẫu lure và kỹ thuật lừa đảo

Lure phổ biến được ghi nhận là thông báo giả từ dịch vụ chữ ký điện tử, trong đó người nhận được yêu cầu nhấp vào liên kết để xem và ký tài liệu. Liên kết có vẻ trỏ đến amazonaws.com, tạo cảm giác an toàn cho người dùng.

Sau khi nhấp, nạn nhân bị chuyển hướng tới form thu thập thông tin xác thực được lưu trữ trên hạ tầng AWS. Cách dựng chuỗi này làm cho rủi ro bảo mật tăng cao vì toàn bộ hành trình đều nằm trên nền tảng hợp lệ.

Bên cạnh đánh cắp credential, kẻ tấn công còn dùng Amazon SES cho các chiến dịch Business Email Compromise (BEC). Trong các email này, chúng giả mạo nhân viên và gửi hóa đơn giả đến bộ phận tài chính để yêu cầu chuyển khoản gấp.

IOC và dấu hiệu nhận biết

• Hạ tầng gửi mail: Amazon SES
• Chuỗi nhận dạng thường thấy: .amazonses.com trong Message-ID
• Lure phổ biến: thông báo ký tài liệu, hóa đơn giả, yêu cầu chuyển khoản khẩn
• Phương thức thu thập thông tin: form giả mạo hosted trên AWS infrastructure
• Phương thức khởi phát: IAM access keys bị lộ
• Công cụ quét secret: TruffleHog và các bot tự động tương tự

Ảnh hưởng đến hệ thống và người dùng

Chiến dịch này không khai thác remote code execution hay chiếm quyền root trên hệ thống đích. Tác động chính là phishing, credential harvesting và lừa đảo chuyển tiền qua BEC.

Do email hợp lệ về mặt kỹ thuật, bộ lọc dựa trên sender reputation hoặc IP blocklist dễ bỏ sót. Điều này dẫn đến hệ thống bị xâm nhập ở tầng người dùng, nơi nạn nhân tự nguyện cung cấp thông tin đăng nhập hoặc xác nhận giao dịch giả.

Trong bối cảnh này, cảnh báo CVE không phải trọng tâm; thay vào đó, trọng tâm là giảm nguy cơ từ credential bị lộ và quản trị quyền AWS đúng cách.

Biện pháp giảm thiểu rủi ro bảo mật

Để giảm nguy cơ bảo mật, cần ưu tiên bảo vệ IAM access keys và thu hẹp quyền gửi mail. Nguyên tắc least privilege giúp giới hạn tác động nếu khóa bị lộ.

Chuyển từ static IAM access keys sang AWS IAM roles là hướng an toàn hơn vì roles cấp quyền tạm thời, có phạm vi rõ ràng. Ngoài ra, nên bật multi-factor authentication, giới hạn truy cập theo IP và tự động xoay vòng khóa.

Về mặt vận hành, các đội ngũ cần thực hiện audit định kỳ, rà soát repository công khai, file cấu hình và artifact build để phát hiện secret bị lộ. Sử dụng AWS Key Management Service để quản lý khóa mã hóa tập trung cũng là một lớp kiểm soát bổ sung.

CLI và cấu hình cần lưu ý

aws iam update-access-key \ --user-name <iam-user-name> \ --access-key-id <access-key-id> \ --status Inactive

aws iam create-role \ --role-name SESSendingRole \ --assume-role-policy-document file://trust-policy.json

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": ["ses:SendEmail", "ses:SendRawEmail"], "Resource": "*" } ]}

Với người dùng cuối, không nên tin email chỉ dựa vào tên người gửi hoặc domain hiển thị. Mọi tài liệu bất ngờ cần được xác minh qua kênh liên lạc riêng trước khi xử lý, và mọi liên kết trong nội dung email phải được kiểm tra cẩn thận trước khi nhấp.

Khuyến nghị phát hiện và giám sát

Trong môi trường email enterprise, việc phát hiện xâm nhập nên tập trung vào hành vi, không chỉ dựa vào reputation. Cần giám sát các mẫu gửi email bất thường từ tài khoản AWS, tăng đột biến số lượng thư, và các đích đến có dấu hiệu credential harvesting.

Đối với tin tức an ninh mạng loại này, yếu tố quan trọng nhất là phát hiện sớm khóa IAM bị lộ và vô hiệu hóa ngay trước khi chiến dịch phishing được triển khai trên Amazon SES. Khi khóa bị lộ còn hoạt động, rủi ro bảo mật sẽ tiếp tục tăng theo thời gian.

Các đội vận hành cũng nên rà soát log truy cập IAM, log gửi mail từ SES và dấu hiệu sử dụng bất thường trong cùng một khoảng thời gian để phát hiện mối đe dọa sớm hơn.