AWS - KMS Post Exploitation
Last updated
Last updated
Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE)
Para más información consulta:
AWS - KMS Enumfileb:// y file:// son esquemas URI utilizados en comandos de AWS CLI para especificar la ruta a archivos locales:
fileb://: Lee el archivo en modo binario, comúnmente utilizado para archivos no de texto.
file://: Lee el archivo en modo texto, típicamente utilizado para archivos de texto plano, scripts o JSON que no tienen requisitos de codificación especiales.
Ten en cuenta que si deseas descifrar algunos datos dentro de un archivo, el archivo debe contener los datos binarios, no datos codificados en base64. (fileb://)
Usando una clave simétrica
Usando una clave asimétrica:
Un atacante con acceso privilegiado sobre KMS podría modificar la política de KMS de las claves y otorgar acceso a su cuenta sobre ellas, eliminando el acceso otorgado a la cuenta legítima.
Entonces, los usuarios de la cuenta legítima no podrán acceder a ninguna información de ningún servicio que haya sido cifrado con esas claves, creando un ransomware fácil pero efectivo sobre la cuenta.
Tenga en cuenta que las claves administradas por AWS no se ven afectadas por este ataque, solo las claves administradas por el cliente.
También tenga en cuenta la necesidad de usar el parámetro --bypass-policy-lockout-safety-check (la falta de esta opción en la consola web hace que este ataque solo sea posible desde la CLI).
Tenga en cuenta que si cambia esa política y solo da acceso a una cuenta externa, y luego desde esta cuenta externa intenta establecer una nueva política para devolver el acceso a la cuenta original, no podrá.
Hay otra forma de realizar un ransomware KMS global, que implicaría los siguientes pasos:
Crear una nueva clave con un material de clave importado por el atacante
Reencriptar datos antiguos encriptados con la versión anterior con la nueva.
Eliminar la clave KMS
Ahora solo el atacante, que tiene el material de clave original, podría ser capaz de desencriptar los datos encriptados
Tenga en cuenta que AWS ahora previene que las acciones anteriores se realicen desde una cuenta cruzada:
Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE)
