AWS - EC2 Persistence
EC2
Для отримання додаткової інформації перегляньте:
AWS - EC2, EBS, ELB, SSM, VPC & VPN EnumПостійність відстеження підключень групи безпеки
Якщо захисник виявить, що екземпляр EC2 був скомпрометований, він, ймовірно, спробує ізолювати мережу машини. Це можна зробити за допомогою явного Deny NACL (але NACL впливають на весь підмережник) або зміни групи безпеки, яка не дозволяє жодного входячого або вихідного трафіку.
Якщо атакуючий мав зворотний shell, запущений з машини, навіть якщо SG змінено так, щоб не допускати вхідний або вихідний трафік, з'єднання не буде завершено через відстеження підключень групи безпеки.
Менеджер життєвого циклу EC2
Ця служба дозволяє розкладати створення AMI та знімків навіть поділитися ними з іншими обліковими записами. Атакуючий може налаштувати створення AMI або знімків всіх зображень або всіх томів щотижня та поділитися ними зі своїм обліковим записом.
Заплановані екземпляри
Можливо запланувати запуск екземплярів щоденно, щотижнево або навіть щомісяця. Атакуючий може запустити машину з високими привілеями або цікавим доступом, до якого він може отримати доступ.
Запит флоту Spot
Екземпляри Spot дешевші за звичайні екземпляри. Атакуючий може запустити невеликий запит флоту Spot на 5 років (наприклад), з автоматичним призначенням IP та користувацькими даними, які надсилають атакуючому при запуску екземпляра Spot та IP-адресу та з високопривілейованою роллю IAM.
Екземпляри з задніми дверима
Атакуючий може отримати доступ до екземплярів та встановити на них задні двері:
Використовуючи традиційний rootkit, наприклад
Додавання нового публічного ключа SSH (перевірте опції привілеїв EC2)
Встановлення задніх дверей в користувацькі дані
Конфігурація запуску з задніми дверима
Встановлення задніх дверей у використану AMI
Встановлення задніх дверей у користувацькі дані
Встановлення задніх дверей у пару ключів
VPN
Створіть VPN, щоб атакуючий міг підключитися безпосередньо через нього до VPC.
VPC Peering
Створіть з'єднання між VPC жертви та VPC атакуючого, щоб він міг отримати доступ до VPC жертви.
Last updated
