Los actores maliciosos pueden aprovecharse de la «insuficiente» visibilidad forense de Google Cloud Platform (GCP) para exfiltrar datos sensibles, según ha revelado una nueva investigación.

«Desafortunadamente, GCP no proporciona el nivel de visibilidad en sus registros de almacenamiento que se necesita para permitir cualquier investigación forense eficaz, haciendo que las organizaciones estén ciegas ante posibles ataques de exfiltración de datos», dijo la firma de respuesta a incidentes en la nube Mitiga en un informe.

El ataque se basa en el requisito previo de que el adversario sea capaz de hacerse con el control de una entidad de gestión de identidades y accesos (IAM) en la organización objetivo mediante métodos como la ingeniería social para acceder al entorno GCP.

El quid del problema radica en que los registros de acceso al almacenamiento de GCP no proporcionan la transparencia adecuada con respecto a los posibles eventos de acceso y lectura de archivos, sino que los agrupan todos como una única actividad de «Obtención de objeto».

«El mismo evento se utiliza para una amplia variedad de tipos de acceso, incluyendo: Lectura de un archivo, descarga de un archivo, copia de un archivo a un servidor externo, [y] lectura de los metadatos del archivo», explicó Veronica Marinov, investigadora de Mitiga.

Esta falta de distinción podría permitir a un atacante recopilar datos confidenciales sin ser detectado, principalmente porque no hay forma de diferenciar entre la actividad maliciosa y la legítima del usuario».

En un ataque hipotético, un actor de amenaza puede utilizar la interfaz de línea de comandos de Google (gsutil) para transferir datos valiosos de los buckets de almacenamiento de la organización víctima a un bucket de almacenamiento externo dentro de la organización atacante.

Desde entonces, Google ha proporcionado recomendaciones de mitigación, que van desde controles de servicio de nube privada virtual (VPC) hasta el uso de encabezados de restricción de organización para limitar las solicitudes de recursos en la nube.