AWS - KMS Post Exploitation
KMS
Per ulteriori informazioni controlla:
AWS - KMS EnumCrittografare/Decifrare informazioni
Nota che se vuoi decifrare alcuni dati all'interno di un file, il file deve contenere i dati binari, non i dati codificati in base64.
Utilizzando una chiave simmetrica
Utilizzando una chiave asimmetrica:
KMS Ransomware
Un attaccante con accesso privilegiato su KMS potrebbe modificare la politica KMS delle chiavi e concedere al proprio account accesso su di esse, rimuovendo l'accesso concesso all'account legittimo.
Quindi, gli utenti dell'account legittimo non saranno in grado di accedere a nessuna informazione di alcun servizio che è stato crittografato con quelle chiavi, creando un ransomware facile ma efficace sull'account.
Nota che le chiavi gestite da AWS non sono colpite da questo attacco, solo le chiavi gestite dal cliente.
Nota anche la necessità di utilizzare il parametro --bypass-policy-lockout-safety-check
(l'assenza di questa opzione nella console web rende questo attacco possibile solo dalla CLI).
Nota che se cambi quella policy e dai accesso solo a un account esterno, e poi da questo account esterno provi a impostare una nuova policy per ridare accesso all'account originale, non sarai in grado.
Ransomware KMS Generico
Ransomware KMS Globale
C'è un altro modo per eseguire un ransomware KMS globale, che comporterebbe i seguenti passaggi:
Creare una nuova chiave con un materiale di chiave importato dall'attaccante
Ri-criptare i dati più vecchi crittografati con la versione precedente con la nuova.
Eliminare la chiave KMS
Ora solo l'attaccante, che ha il materiale di chiave originale, potrebbe essere in grado di decrittografare i dati crittografati
Distruggere chiavi
Nota che AWS ora prevenire che le azioni precedenti vengano eseguite da un account diverso:
Last updated