Wiz: Hacker kapern Cloud-Abrechnungskonten, um massenhaft Gemini API zu nutzen

Phishing über gesponserte Suchanzeigen

Laut Wiz CIRT begannen die Angriffe mit einer bekannten Taktik. Die Angreifer schalteten Google-Search-Anzeigen für gängige Admin-Begriffe wie „google cloud“ und „gcp“. Wer die bösartige Anzeige anklickte, wurde über eine Weiterleitung auf Google Sites zu einer gefälschten Google-Anmeldeseite geführt.

Opfer mit gültigem Zugang zur Google Console gaben dort ihre Zugangsdaten und Codes für die Multi-Faktor-Authentifizierung (MFA) ein. Die Seite griff beides ab und leitete den Nutzer anschließend zur echten Google-Authentifizierung zurück. Wiz weist darauf hin, dass der Nutzer, der sich ein zweites Mal anmelden musste, den ersten Versuch vermutlich für eine kleine Störung hielt.

Währenddessen nutzte das automatisierte Phishing-Kit die erbeuteten Daten für den ersten bösartigen Login von 212.73.134[.]136, der Quell-IP-Adresse des Kits. Wenige Minuten später meldete sich der Angreifer von einer zweiten IP-Adresse erneut an, die dann für die übrigen Aktivitäten in GCP verwendet wurde. Wiz zufolge hat Google Ads die bösartige Kampagne nach Meldungen entfernt. Google stufte den Login zudem als verdächtig ein und verschickte Warn-E-Mails. Wiz rät Unternehmen jedoch, sich nicht allein auf die Aufmerksamkeit der Nutzer zu verlassen und die Google Workspace User Log Events auf Flags für verdächtige Logins und auffällige Re-Authentifizierungen zu überwachen.

Schutzmaßnahmen entfernt, Rechnung umgeleitet

Im Konto angekommen, nutzte der Angreifer die übermäßigen Berechtigungen des kompromittierten Kontos, um die Abrechnung für den Missbrauch vorzubereiten. Statt neue Infrastruktur aufzubauen, nahm er bestehende, kaum genutzte GCP-Projekte ins Visier. Dort tat er Folgendes:

• Er aktivierte das Produkt Gemini API.
• Er legte Service Accounts mit Gemini-API-Schlüsseln an.
• Er fügte diese Service Accounts zu hoch privilegierten Rollen wie roles/ml.admin und roles/mcp.toolUser hinzu.

Anschließend löschte der Angreifer Sicherheitsrichtlinien auf Organisationsebene wie iam.allowedPolicyMemberDomains. Diese Richtlinie beschränkt die Mitgliedschaft in Identity and Access Management (IAM) auf verifizierte Unternehmensdomains. Ihre Entfernung ermöglichte es, dass externe private Konten Zugriff und hoch privilegierte Berechtigungen erhielten. Der kompromittierte Nutzer fügte danach vom Angreifer kontrollierte Gmail-Konten zum Abrechnungskonto der Organisation hinzu und vergab administrative Rollen, darunter roles/recommender.billingAccountCudAdmin auf Projekten und roles/billing.admin auf Abrechnungskonten.

Die Rolle roles/billing.admin gewährt die volle Kontrolle über ein Abrechnungskonto, einschließlich der Verwaltung von Berechtigungen, dem Anbinden externer Projekte und der Änderung von Zahlungseinstellungen. Der Angreifer nutzte sie, um externe, von ihm kontrollierte GCP-Projekte mit dem Abrechnungskonto des Opfers zu verknüpfen. Durch diese mandantenübergreifende Verbindung werden API-Anfragen, die in den Projekten des Angreifers laufen, dem Opfer in Rechnung gestellt, während die Prompt-Inhalte für das Log-Monitoring des Opfers unsichtbar bleiben.

Entdeckung vermeiden, Admins aussperren

Wiz CIRT berichtet von zwei Verschleierungstechniken. Nach dem ersten Login stammten spätere Aktivitäten von IP-Adressen aus dem Land, in dem die jeweils betroffene Organisation ihren Hauptsitz hat, selbst wenn dies nicht dem tatsächlichen Standort des kompromittierten Nutzers entsprach. Damit sollen standortbasierte Warnungen umgangen werden.

Außerdem stuften die Angreifer bestehende interne Abrechnungsadministratoren zu reinen Lesern (Billing Viewer) herab. Dadurch konnten diese weder Berechtigungen widerrufen noch die manipulierten Projekte über die Konsole abkoppeln.

Ziel war eine nicht zerstörerische finanzielle Ausbeutung. Da Erzeugung der API-Schlüssel, Prompts und Ausgaben allesamt in fremden Mandanten stattfanden, trugen die Opfer zwar die finanzielle Verantwortung, doch interne Sicherheits- und Audit-Logs boten laut Wiz „keinerlei Einblick in Art, Inhalt oder Kontext der ausgeführten KI-Workloads“. Die Kosten stiegen sprunghaft gegenüber den gewohnten Ausgaben der Organisationen für Rechenleistung.

Was Verteidiger tun können

Wiz empfiehlt, die Audit-Logs von Google Workspace, GCP Admin Activity und Cloud Billing gezielt zu durchsuchen. Zu den Empfehlungen gehören:

• IAM auf Nutzer mit externen Domains prüfen, insbesondere bei nicht unternehmenseigenen Anbietern wie @gmail.com
• Audit-Logs auf Änderungen an Organisationsrichtlinien prüfen, insbesondere an allowedPolicyMemberDomains, sowie auf IAM-Änderungen bei Administratoren von Abrechnungskonten
• in alten Projekten nach unerwarteter Aktivierung der Gemini API, der Erstellung von Service Accounts und der Erzeugung von API-Schlüsseln für Service Accounts suchen
• ungewöhnliche Kostenspitzen bei der API-Nutzung überwachen und gegebenenfalls Budgetobergrenzen durchsetzen

Wiz nennt außerdem Phishing-Domains der Kampagne, darunter *.gboogl[.]com, *.groosl[.]com und *.gprokl[.]com. Für GCP-Kunden ergibt sich daraus eine praktische Lehre: Abrechnungsberechtigungen und Organisationsrichtlinien verdienen dieselbe Überwachung wie der Zugriff auf Workloads, und alte, selten genutzte Projekte können als Deckung für Missbrauch dienen. Wiz-Kunden können dedizierte Abfragen und Advisories des Threat Intel Center nutzen, und das Unternehmen bietet CIRT-Unterstützung für alle an, die einen Einbruch vermuten.