AWS - S3 Post Exploitation
S3
अधिक जानकारी के लिए देखें:
AWS - S3, Athena & Glacier Enumसंवेदनशील जानकारी
कभी-कभी आप बकेट में पढ़ने योग्य संवेदनशील जानकारी पा सकते हैं। उदाहरण के लिए, टेराफॉर्म राज्य रहस्य।
पिवोटिंग
विभिन्न प्लेटफार्मों में संवेदनशील संपत्तियों को स्टोर करने के लिए S3 का उपयोग किया जा सकता है। उदाहरण के लिए, airflow वहां DAGs कोड स्टोर कर सकता है, या वेब पृष्ठ सीधे S3 से सर्व किए जा सकते हैं। एक हमलावर जिसके पास लिखने की अनुमति है, वह बकेट से कोड को संशोधित कर सकता है ताकि अन्य प्लेटफार्मों पर पिवोट किया जा सके, या खातों पर नियंत्रण पाने के लिए JS फ़ाइलों को संशोधित कर सके।
S3 रैनसमवेयर
इस परिदृश्य में, हमलावर अपने AWS खाते या किसी अन्य समझौता किए गए खाते में एक KMS (की प्रबंधन सेवा) कुंजी बनाता है। फिर वे इस कुंजी को दुनिया में किसी के लिए भी सुलभ बनाते हैं, जिससे कोई भी AWS उपयोगकर्ता, भूमिका, या खाता इस कुंजी का उपयोग करके वस्तुओं को एन्क्रिप्ट कर सकता है। हालाँकि, वस्तुओं को डिक्रिप्ट नहीं किया जा सकता है।
हमलावर एक लक्षित S3 बकेट की पहचान करता है और इसके लिए लिखने के स्तर की पहुंच प्राप्त करता है विभिन्न तरीकों का उपयोग करके। यह खराब बकेट कॉन्फ़िगरेशन के कारण हो सकता है जो इसे सार्वजनिक रूप से उजागर करता है या हमलावर को AWS वातावरण तक पहुंच प्राप्त होती है। हमलावर आमतौर पर उन बकेटों को लक्षित करता है जिनमें संवेदनशील जानकारी होती है जैसे व्यक्तिगत पहचान योग्य जानकारी (PII), संरक्षित स्वास्थ्य जानकारी (PHI), लॉग, बैकअप, और अधिक।
यह निर्धारित करने के लिए कि क्या बकेट रैनसमवेयर के लिए लक्षित किया जा सकता है, हमलावर इसकी कॉन्फ़िगरेशन की जांच करता है। इसमें यह सत्यापित करना शामिल है कि S3 ऑब्जेक्ट वर्जनिंग सक्षम है और क्या मल्टी-फैक्टर ऑथेंटिकेशन डिलीट (MFA डिलीट) सक्षम है। यदि ऑब्जेक्ट वर्जनिंग सक्षम नहीं है, तो हमलावर आगे बढ़ सकता है। यदि ऑब्जेक्ट वर्जनिंग सक्षम है लेकिन MFA डिलीट अक्षम है, तो हमलावर ऑब्जेक्ट वर्जनिंग को अक्षम कर सकता है। यदि दोनों ऑब्जेक्ट वर्जनिंग और MFA डिलीट सक्षम हैं, तो हमलावर के लिए उस विशेष बकेट को रैनसमवेयर करना अधिक कठिन हो जाता है।
AWS API का उपयोग करते हुए, हमलावर बकेट में प्रत्येक ऑब्जेक्ट को अपने KMS कुंजी का उपयोग करके एन्क्रिप्टेड कॉपी से बदलता है। इससे बकेट में डेटा को एन्क्रिप्ट किया जाता है, जिससे कुंजी के बिना इसे एक्सेस करना असंभव हो जाता है।
अधिक दबाव डालने के लिए, हमलावर हमले में उपयोग की गई KMS कुंजी के हटाने का कार्यक्रम निर्धारित करता है। यह लक्षित को कुंजी हटाए जाने से पहले अपने डेटा को पुनर्प्राप्त करने के लिए 7-दिन की विंडो देता है और डेटा स्थायी रूप से खो जाता है।
अंत में, हमलावर एक अंतिम फ़ाइल अपलोड कर सकता है, जिसे आमतौर पर "ransom-note.txt" कहा जाता है, जिसमें लक्षित के लिए उनके फ़ाइलों को पुनर्प्राप्त करने के लिए निर्देश होते हैं। यह फ़ाइल बिना एन्क्रिप्शन के अपलोड की जाती है, संभवतः लक्षित का ध्यान आकर्षित करने और उन्हें रैनसमवेयर हमले के बारे में जागरूक करने के लिए।
अधिक जानकारी के लिए मूल शोध की जांच करें।
Last updated
