AWS - KMS Post Exploitation
Last updated
Last updated
Aprenda e pratique Hacking AWS:HackTricks Treinamento AWS Red Team Expert (ARTE) Aprenda e pratique Hacking GCP: HackTricks Treinamento GCP Red Team Expert (GRTE)
Para mais informações, confira:
fileb:// e file:// são esquemas URI usados em comandos da AWS CLI para especificar o caminho para arquivos locais:
fileb://: Lê o arquivo em modo binário, comumente usado para arquivos não-texto.
file://: Lê o arquivo em modo texto, tipicamente usado para arquivos de texto simples, scripts ou JSON que não têm requisitos de codificação especiais.
Observe que se você quiser descriptografar alguns dados dentro de um arquivo, o arquivo deve conter os dados binários, não dados codificados em base64. (fileb://)
Usando uma chave simétrica
Usando uma chave assimétrica:
Um atacante com acesso privilegiado ao KMS poderia modificar a política do KMS das chaves e conceder acesso à sua conta sobre elas, removendo o acesso concedido à conta legítima.
Assim, os usuários da conta legítima não poderão acessar nenhuma informação de qualquer serviço que tenha sido criptografado com essas chaves, criando um ransomware fácil, mas eficaz, sobre a conta.
Note que as chaves gerenciadas pela AWS não são afetadas por este ataque, apenas as chaves gerenciadas pelo cliente.
Também note a necessidade de usar o parâmetro --bypass-policy-lockout-safety-check (a falta desta opção na console web torna este ataque possível apenas a partir da CLI).
Observe que se você alterar essa política e der acesso apenas a uma conta externa, e então, a partir dessa conta externa, tentar definir uma nova política para dar o acesso de volta à conta original, você não conseguirá.
Há outra maneira de realizar um ransomware KMS global, que envolveria os seguintes passos:
Criar uma nova chave com um material de chave importado pelo atacante
Recriptografar dados antigos criptografados com a versão anterior com a nova.
Excluir a chave KMS
Agora, apenas o atacante, que possui o material de chave original, poderá descriptografar os dados criptografados
Observe que a AWS agora impede que as ações anteriores sejam realizadas de uma conta cruzada:
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)
