AWS - KMS Post Exploitation
KMS
Para más información consulta:
AWS - KMS EnumCifrar/Descifrar información
Ten en cuenta que si deseas descifrar algunos datos dentro de un archivo, el archivo debe contener los datos binarios, no datos codificados en base64.
Usando una clave simétrica
Usando una clave asimétrica:
KMS Ransomware
Un atacante con acceso privilegiado sobre KMS podría modificar la política de KMS de las claves y otorgar acceso a su cuenta sobre ellas, eliminando el acceso otorgado a la cuenta legítima.
Entonces, los usuarios de la cuenta legítima no podrán acceder a ninguna información de ningún servicio que haya sido cifrado con esas claves, creando un ransomware fácil pero efectivo sobre la cuenta.
Note que las claves administradas por AWS no se ven afectadas por este ataque, solo las claves administradas por el cliente.
También note la necesidad de usar el parámetro --bypass-policy-lockout-safety-check
(la falta de esta opción en la consola web hace que este ataque solo sea posible desde la CLI).
Tenga en cuenta que si cambia esa política y solo da acceso a una cuenta externa, y luego desde esta cuenta externa intenta establecer una nueva política para devolver el acceso a la cuenta original, no podrá.
Ransomware KMS Genérico
Ransomware KMS Global
Hay otra forma de realizar un ransomware KMS global, que implicaría los siguientes pasos:
Crear una nueva clave con un material de clave importado por el atacante
Reencriptar datos antiguos encriptados con la versión anterior con la nueva.
Eliminar la clave KMS
Ahora solo el atacante, que tiene el material de clave original, podría ser capaz de desencriptar los datos encriptados
Destruir claves
Tenga en cuenta que AWS ahora previene que las acciones anteriores se realicen desde una cuenta cruzada:
Last updated