В Amazon S3 файлы хранятся в контейнерах — бакетах. Для бакетов в общем пространстве имён после удаления имя может занять другой аккаунт. AWS прямо предупреждает: новый владелец способен получать запросы, предназначенные прежнему хранилищу. Поэтому для сохранения имени рекомендует очищать бакет и закрывать доступ, сохраняя сам ресурс. Документация AWS

Адрес знакомый. Владелец уже чужой.

Это действительно проверяли

В исследовании, опубликованном 4 февраля 2025 года, watchTowr описала около 150 заброшенных S3-бакетов, которые команда зарегистрировала заново.

За два месяца они получили более 8 миллионов HTTP-запросов. Системы запрашивали обновления, исполняемые файлы, JavaScript, образы виртуальных машин и конфигурации.

Это число запросов, а не взломанных устройств. Но оно показывает, сколько обращений продолжало идти к инфраструктуре, которую прежние владельцы уже бросили. Выявленные бакеты затем передали AWS для безопасного удержания. Исследование watchTowr

Где появляется возможность выполнить чужой код

Рассмотрим условный сценарий:

1. Установщик скачивает вспомогательный компонент по старому адресу.
2. Хранилище под этим именем уже контролирует посторонний.
3. Установщик получает подменённый файл.
4. Если происхождение файла не проверяется и он запускается, чужой код выполняется с правами запустившего процесса.

Критический переход здесь — от «скачали файл» к «доверились файлу».

Сам по себе контроль адреса ещё не гарантирует заражение. В исследовании были обращения к старому репозиторию Linux-пакетов: проверка криптографических подписей препятствовала простой подмене обновлений. Разбор этого случая

Что проверить в своём проекте

Начать можно с небольшого аудита: выписать внешние адреса из установщиков, конфигураций и сценариев сборки. Для каждого ответить:

— Кто сейчас контролирует ресурс?
— Что произойдёт, если оттуда придёт другой файл?
— Какая проверка остановит его выполнение?
— Где ещё осталась ссылка, если ресурс уже выведен из эксплуатации?

Практический вывод из этого кейса: удаление инфраструктуры стоит планировать вместе с отключением всех потребителей. Пока старый установщик продолжает ходить по старому адресу, зависимость всё ещё существует.

Вопрос для своей команды: если завтра знакомая ссылка начнёт отдавать чужой файл — наша система его отвергнет или послушно запустит?

#ИБ #SupplyChain #CloudSecurity