El proveedor de Platform-as-a-Service (PaaS) Railway informó el miércoles sobre una "actividad anómala" en los sistemas que almacenan las variables de entorno de sus clientes. Tras una investigación más profunda, la empresa detectó que un tercero no autorizado podría haber obtenido acceso a variables de entorno cifradas y, en algunos casos, a su contenido descifrado. Según Railway, el impacto se limita a un "subconjunto de usuarios", aunque no especificó una cifra exacta.
Las variables de entorno son pares clave-valor definidos por el usuario que se utilizan para almacenar datos sensibles como claves de API, credenciales de bases de datos o indicadores de funcionalidades. Se configuran a nivel del sistema operativo o del entorno del contenedor en lugar de codificar los valores directamente en el código fuente de un programa.
Railway señaló que el incidente probablemente forma parte de una serie de ataques dirigidos a empresas de plataformas con el objetivo final de comprometer a proveedores de inferencia de inteligencia artificial (IA). La compañía también indicó que ha notificado a los proveedores upstream para que revoquen proactivamente las claves y así evitar su uso indebido.
Se insta a los clientes a tomar las siguientes medidas como precaución:
- Rotar las variables de entorno, incluidas las claves de API, almacenadas en Railway, así como las credenciales de registro privado.
- Revisar los registros de esos servicios en busca de actividad inusual.
Según el investigador de seguridad Taylor Monahan (@tayvano_), el incidente también permitió a los atacantes (0xd9773325282874d18cb83f1fe50f14c39750b2ee) vaciar carteras de criptomonedas cuyas claves privadas estaban almacenadas en Railway. Se dice que la primera transacción conocida de robo de criptomonedas ocurrió a las 19:36, al menos dos horas antes de que el incidente se divulgara oficialmente.
Como respuesta, Railway ha rotado todas las credenciales de los buckets de Railway e invalidado los tokens de API de Railway. También ha restaurado las compilaciones para los espacios de trabajo Pro y Enterprise, lo que permite a los clientes aplicar las nuevas credenciales añadidas en Railway.
"Las compilaciones siguen disponibles para los espacios de trabajo Pro y Enterprise. Seguimos trabajando para habilitar las compilaciones para Hobby, luego Free y Trial. Algunas compilaciones todavía fallan con más frecuencia de lo habitual, y muchas implementaciones permanecen en cola con tiempos de espera superiores a lo normal. Continuamos trabajando en ambos aspectos".
Este desarrollo se produce en un momento en que los actores de amenazas no solo incorporan cada vez más la IA en diversas etapas del ciclo de vida del ataque, sino que también obtienen acceso no autorizado a entornos de víctimas en la nube para ejecutar modelos de lenguaje grandes (LLM), dejando que estas asuman el costo. Este enfoque se denomina LLMjacking.
En un caso documentado por Wiz esta semana, los actores de amenazas comprometieron credenciales privilegiadas de Google Cloud Platform (GCP) y vincularon proyectos externos de GCP controlados por el atacante a las cuentas de facturación internas de la víctima.
Se ha descubierto que el ataque utiliza anuncios patrocinados en Google Search como vector de acceso inicial, engañando a los usuarios que buscan términos comunes como "google cloud" o "gap" para dirigirlos a una página de inicio de sesión falsa de Google a través de una redirección de Google Sites, recolectando sus credenciales de cuenta y códigos de autenticación multifactor (MFA) en el proceso.
Tras obtener acceso al entorno de GCP de la víctima, se dice que el actor de amenazas abusó de los privilegios excesivos de la cuenta comprometida para profundizar su acceso, eludir los controles de seguridad y añadir cuentas de Gmail externas controladas por el atacante directamente a la cuenta de facturación de la organización.
"Debido a que las cargas de trabajo de IA se procesaron en proyectos extranjeros, los contenidos de los prompts y las salidas del modelo permanecieron completamente ocultos para la organización víctima, dejando desconocida la naturaleza del uso masivo de IA", dijeron los investigadores de Wiz Shira Ayal y Andre Maccarone.
Estos casos de abuso de recursos no son aislados. Según el equipo Symantec Threat Hunter, los atacantes están atacando endpoints de LLM expuestos para impulsar una operación de ciberdelincuencia autónoma capaz de escanear internet, explotar vulnerabilidades, robar credenciales y minar criptomonedas sin intervención humana durante hasta 100.000 pasos.
La actividad es impulsada por un agente de IA ofensivo que opera en "modo Skynet" para escanear e infectar objetivos con mineros y permitir a los actores de amenazas ejecutar sus propios ataques. Los exploits se dirigen a implementaciones de Microsoft Visual Studio Code, Django, Jupyter, Laravel, Supabase, Next.js y Flask/Werkzeug.
El objetivo final es la inferencia gratuita. En lugar de simplemente usar IA para generar contenido malicioso, el agente de IA malicioso utiliza los modelos de IA secuestrados para planificar y dirigir ataques, mientras traslada el costo de cómputo al propietario legítimo y oculta su propia identidad.
En otras palabras, la idea es diseñar un agente malicioso que pueda secuestrar un sistema de IA legítimo y convertirlo en "un compañero devoto que nunca debe negarse" y en una herramienta de ciberdelincuencia inconsciente.
"Las instrucciones capturadas definían un solo agente equipado para el escaneo de toda internet, la explotación de varios frameworks web comunes, el robo de bases de datos, la recolección de credenciales y secretos, y la minería de criptomonedas", dijo el equipo Symantec Threat Hunter en un informe compartido con The Hacker News. "La actividad es una forma de LLMjacking, donde los atacantes roban el acceso al modelo de IA de otra persona para que la víctima pague la potencia de cómputo".
Deja una respuesta