AWS - EC2 Persistence
EC2
Per ulteriori informazioni controlla:
AWS - EC2, EBS, ELB, SSM, VPC & VPN EnumPersistenza del Tracciamento delle Connessioni del Gruppo di Sicurezza
Se un difensore scopre che un istanza EC2 è stata compromessa, probabilmente cercherà di isolare la rete della macchina. Potrebbe farlo con un esplicito Deny NACL (ma i NACL influenzano l'intera subnet), o cambiando il gruppo di sicurezza per non consentire alcun tipo di traffico in entrata o in uscita.
Se l'attaccante aveva una reverse shell originata dalla macchina, anche se il SG è modificato per non consentire traffico in entrata o in uscita, la connessione non verrà interrotta a causa di Security Group Connection Tracking.
EC2 Lifecycle Manager
Questo servizio consente di programmare la creazione di AMI e snapshot e persino di condividerli con altri account. Un attaccante potrebbe configurare la generazione di AMI o snapshot di tutte le immagini o di tutti i volumi ogni settimana e condividerli con il suo account.
Istanze Programmate
È possibile programmare le istanze per essere eseguite quotidianamente, settimanalmente o persino mensilmente. Un attaccante potrebbe eseguire una macchina con privilegi elevati o accesso interessante dove potrebbe accedere.
Richiesta Spot Fleet
Le istanze Spot sono più economiche delle istanze regolari. Un attaccante potrebbe lanciare una piccola richiesta di spot fleet per 5 anni (ad esempio), con assegnazione automatica di IP e un user data che invia all'attaccante quando l'istanza spot inizia e l'indirizzo IP e con un ruolo IAM con privilegi elevati.
Istanze Backdoor
Un attaccante potrebbe ottenere accesso alle istanze e backdoorarle:
Utilizzando un tradizionale rootkit ad esempio
Aggiungendo una nuova chiave SSH pubblica (controlla opzioni di privesc EC2)
Backdooring il User Data
Configurazione di Lancio Backdoor
Backdoor l'AMI utilizzata
Backdoor il User Data
Backdoor il Key Pair
VPN
Crea una VPN in modo che l'attaccante possa connettersi direttamente attraverso di essa al VPC.
VPC Peering
Crea una connessione di peering tra il VPC della vittima e il VPC dell'attaccante in modo che possa accedere al VPC della vittima.
Last updated
