AWS - EC2 Persistence
EC2
Para mais informações, verifique:
AWS - EC2, EBS, ELB, SSM, VPC & VPN EnumPersistência de Rastreamento de Conexão do Grupo de Segurança
Se um defensor descobrir que uma instância EC2 foi comprometida, ele provavelmente tentará isolar a rede da máquina. Ele poderia fazer isso com um NACL de Negação explícita (mas NACLs afetam toda a sub-rede), ou alterando o grupo de segurança para não permitir nenhum tipo de tráfego de entrada ou saída.
Se o atacante tiver um shell reverso originado da máquina, mesmo que o SG seja modificado para não permitir tráfego de entrada ou saída, a conexão não será encerrada devido ao Rastreamento de Conexão do Grupo de Segurança.
Gerenciador de Ciclo de Vida do EC2
Este serviço permite agendar a criação de AMIs e snapshots e até compartilhá-los com outras contas. Um atacante poderia configurar a geração de AMIs ou snapshots de todas as imagens ou todos os volumes a cada semana e compartilhá-los com sua conta.
Instâncias Agendadas
É possível agendar instâncias para serem executadas diariamente, semanalmente ou até mensalmente. Um atacante poderia executar uma máquina com altos privilégios ou acesso interessante onde ele poderia acessar.
Solicitação de Frota Spot
As instâncias spot são mais baratas do que as instâncias regulares. Um atacante poderia lançar uma pequena solicitação de frota spot por 5 anos (por exemplo), com atribuição automática de IP e um dados do usuário que envia ao atacante quando a instância spot iniciar e o endereço IP e com um papel IAM de alto privilégio.
Instâncias de Backdoor
Um atacante poderia obter acesso às instâncias e colocar backdoors nelas:
Usando um rootkit tradicional, por exemplo
Adicionando uma nova chave SSH pública (verifique as opções de escalonamento de privilégios do EC2)
Colocando backdoors no Dados do Usuário
Configuração de Lançamento de Backdoor
Colocar backdoor na AMI usada
Colocar backdoor nos Dados do Usuário
Colocar backdoor no Par de Chaves
VPN
Crie uma VPN para que o atacante possa se conectar diretamente através dela na VPC.
VPC Peering
Crie uma conexão de peering entre a VPC da vítima e a VPC do atacante para que ele possa acessar a VPC da vítima.
Last updated