Исследователи Era Security обнаружили атаку Greeter на облачную ИИ-инфраструктуру: в её рамках злоумышленники ищут уязвимые экземпляры Flowise, добираются до облачных учётных данных и маскируют активность короткими сообщениями «hello» в логах. Уже подтверждены 46 пострадавших организаций; для российских команд, разворачивающих LLM-инструменты без жёсткого контура доступа, это ещё один повод перестать считать внутренний AI-сервис безобидным экспериментом.
Как сообщает Dark Reading, цепочку нашли после поиска через Shodan открытых экземпляров Amazon DynamoDB, из которых посторонний пользователь мог скачать данные или удалить их. Дальше исследователи увидели Flowise — open-source-платформу для сборки ИИ-агентов и интеграции с большими языковыми моделями. Проверка почти 3 000 развёртываний показала неприятную картину: около 90% работали на непропатченных версиях, подверженных критической уязвимости CVE-2024-58351, связанной с внедрением кода.
Чтобы наблюдать за вторжениями, команда Era Security развернула ИИ-ловушки, главным образом в AWS. В них атакующие не ограничивались запуском одного эксплойта. Они последовательно изучали среду и доступные привилегии, искали секреты и учётные данные, обращались к сервисам метаданных у нескольких облачных провайдеров, повышали права и закреплялись в инфраструктуре. Именно эта повторяемая многошаговая схема отличает кампанию от обычного автоматизированного сканирования: доступ к одному плохо настроенному сервису рассматривается как вход в более широкую облачную среду.
Название атака Greeter получила из-за приёма с логами. Вместо заметных артефактов злоумышленники оставляли в них безобидные и краткоживущие «hello». Для аналитика SOC это не магия и не новая техника обхода журналирования: записи всё ещё существуют. Но сигнал тонет в потоке штатных событий, а охоте за индикаторами приходится уделять отдельное время. Если при этом логи хранятся только на скомпрометированном хосте, противник может удалить и гораздо более содержательные следы.
По оценке Era Security, не менее половины из 46 обнаруженных реальных жертв всё ещё остаются доступными из интернета. Это означает, что как минимум около 20 организаций могут быть уязвимы прямо сейчас. Исследователи также зафиксировали работу кампании сразу в нескольких регионах AWS. В коде и используемых техниках встречались китайские символы, однако этого недостаточно для атрибуции: они могут быть как подсказкой, так и намеренной ложной дорожкой. Уверенно говорить можно лишь о масштабе подготовки и о том, что операторы умеют воспроизводить сценарий.
Контекст здесь важнее конкретного CVE. Раньше похожая логика применялась к открытым Docker API: сначала доступ к рабочей нагрузке, затем попытка выйти к сервису метаданных и получить облачные роли. В случае с Flowise и подобными инструментами ИИ-инфраструктура становится ещё одной удобной точкой закрепления. Она нередко появляется быстро — для пилота, внутреннего чат-бота или прототипа агента, — а затем оказывается подключённой к моделям, базам данных, векторным хранилищам и корпоративным API. Такой сервис редко живёт в изоляции, даже если его так называют в презентации.
Для разработчиков и платформенных команд практический список действий довольно приземлённый: найти все экземпляры Flowise и похожих self-hosted-инструментов, закрыть публичный доступ там, где он не нужен, устранить CVE-2024-58351 и проверить, какие роли и секреты доступны процессам. Не менее важно вынести журналы в отдельное неизменяемое хранилище и настроить оповещения на разведку окружения, обращения к метаданным и аномальное перечисление прав. Патч остаётся обязательным, но одна заплатка не спасёт, если атакующий уже получил ключ или открытый API.
Главный вывод из истории Greeter не в слове «hello», а в скорости перехода от найденного сервиса к облачным полномочиям. По мере того как ИИ-компоненты становятся обычной частью продуктового стека, безопасность придётся проектировать вокруг допущения о компрометации: сетевой доступ, идентичности, секреты и журналы должны ограничивать ущерб независимо друг от друга. Иначе следующий привет в логах окажется самым вежливым сообщением во всей цепочке инцидента.
