AWS - KMS Post Exploitation
KMS
Aby uzyskać więcej informacji, sprawdź:
AWS - KMS EnumSzyfrowanie/Odszyfrowanie informacji
Zauważ, że jeśli chcesz odszyfrować dane w pliku, plik musi zawierać dane binarne, a nie dane zakodowane w base64.
Używając klucza symetrycznego
Używanie klucza asymetrycznego:
KMS Ransomware
Atakujący z uprzywilejowanym dostępem do KMS mógłby zmodyfikować politykę KMS kluczy i przyznać swojemu kontu dostęp do nich, usuwając dostęp przyznany legalnemu kontu.
Wtedy użytkownicy legalnego konta nie będą mogli uzyskać dostępu do żadnych informacji z jakiejkolwiek usługi, która została zaszyfrowana tymi kluczami, tworząc łatwy, ale skuteczny ransomware na koncie.
Zauważ, że klucze zarządzane przez AWS nie są dotknięte tym atakiem, tylko klucze zarządzane przez klienta.
Zauważ również potrzebę użycia parametru --bypass-policy-lockout-safety-check
(brak tej opcji w konsoli internetowej sprawia, że ten atak jest możliwy tylko z CLI).
Zauważ, że jeśli zmienisz tę politykę i przyznasz dostęp tylko zewnętrznemu kontu, a następnie z tego zewnętrznego konta spróbujesz ustawić nową politykę, aby przywrócić dostęp do oryginalnego konta, nie będziesz w stanie.
Ogólny KMS Ransomware
Globalny KMS Ransomware
Istnieje inny sposób na przeprowadzenie globalnego KMS Ransomware, który obejmowałby następujące kroki:
Utwórz nowy klucz z materiałem klucza importowanym przez atakującego
Ponownie zaszyfruj starsze dane zaszyfrowane poprzednią wersją nowym.
Usuń klucz KMS
Teraz tylko atakujący, który ma oryginalny materiał klucza, mógłby odszyfrować zaszyfrowane dane
Zniszcz klucze
Zauważ, że AWS teraz zapobiega wykonywaniu poprzednich działań z konta krzyżowego:
Last updated