AWS - KMS Post Exploitation
Last updated
Last updated
Apprenez et pratiquez le hacking AWS :HackTricks Training AWS Red Team Expert (ARTE) Apprenez et pratiquez le hacking GCP : HackTricks Training GCP Red Team Expert (GRTE)
Pour plus d'informations, consultez :
AWS - KMS Enumfileb:// et file:// sont des schémas URI utilisés dans les commandes AWS CLI pour spécifier le chemin vers des fichiers locaux :
fileb://: Lit le fichier en mode binaire, couramment utilisé pour des fichiers non textuels.
file://: Lit le fichier en mode texte, typiquement utilisé pour des fichiers texte brut, des scripts ou du JSON qui n'a pas d'exigences d'encodage spéciales.
Notez que si vous souhaitez déchiffrer des données à l'intérieur d'un fichier, le fichier doit contenir les données binaires, pas les données encodées en base64. (fileb://)
Utilisation d'une clé symétrique
Utiliser une clé asymétrique :
Un attaquant ayant un accès privilégié sur KMS pourrait modifier la politique KMS des clés et accorder à son compte l'accès à celles-ci, supprimant l'accès accordé au compte légitime.
Ainsi, les utilisateurs du compte légitime ne pourront accéder à aucune information de tout service qui a été chiffré avec ces clés, créant un ransomware facile mais efficace sur le compte.
Notez que les clés gérées par AWS ne sont pas affectées par cette attaque, seulement les clés gérées par le client.
Notez également la nécessité d'utiliser le paramètre --bypass-policy-lockout-safety-check (l'absence de cette option dans la console web rend cette attaque uniquement possible depuis la CLI).
Notez que si vous modifiez cette politique et que vous ne donnez l'accès qu'à un compte externe, puis que depuis ce compte externe vous essayez de définir une nouvelle politique pour redonner l'accès au compte d'origine, vous ne pourrez pas.
Il existe une autre façon d'effectuer un ransomware KMS global, qui impliquerait les étapes suivantes :
Créer une nouvelle clé avec un matériel de clé importé par l'attaquant
Ré-encrypter les anciennes données chiffrées avec la version précédente avec la nouvelle.
Supprimer la clé KMS
Maintenant, seul l'attaquant, qui possède le matériel de clé d'origine, pourrait être en mesure de déchiffrer les données chiffrées
Notez qu'AWS empêche désormais les actions précédentes d'être effectuées à partir d'un compte croisé :
Apprenez et pratiquez le hacking AWS :HackTricks Formation Expert Red Team AWS (ARTE) Apprenez et pratiquez le hacking GCP : HackTricks Formation Expert Red Team GCP (GRTE)
