AWS - KMS Post Exploitation
KMS
Для отримання додаткової інформації перегляньте:
AWS - KMS EnumШифрування/Дешифрування інформації
Зверніть увагу, що якщо ви хочете дешифрувати деякі дані всередині файлу, файл повинен містити бінарні дані, а не дані, закодовані в base64.
Використовуючи симетричний ключ
Використання асиметричного ключа:
KMS Ransomware
Атакуючий з привілейованим доступом до KMS може змінити політику KMS ключів і надати своєму обліковому запису доступ до них, видаливши доступ, наданий легітимному обліковому запису.
Тоді користувачі легітимного облікового запису не зможуть отримати доступ до будь-якої інформації будь-якої служби, яка була зашифрована цими ключами, створюючи простий, але ефективний програмний забезпечення для викупу над обліковим записом.
Зверніть увагу, що керовані AWS ключі не підлягають цій атаці, тільки керовані клієнтом ключі.
Також зверніть увагу на необхідність використання параметра --bypass-policy-lockout-safety-check
(відсутність цієї опції в веб-консолі робить цю атаку можливою лише з CLI).
Зверніть увагу, що якщо ви зміните цю політику і надасте доступ лише зовнішньому обліковому запису, а потім з цього зовнішнього облікового запису спробуєте встановити нову політику, щоб повернути доступ до оригінального облікового запису, ви не зможете.
Загальний KMS Ransomware
Глобальний KMS Ransomware
Існує інший спосіб виконати глобальний KMS Ransomware, який включатиме наступні кроки:
Створити новий ключ з матеріалом ключа, імпортованим зловмисником
Зашифрувати старі дані знову, зашифровані попередньою версією, новою.
Видалити KMS ключ
Тепер лише зловмисник, який має оригінальний матеріал ключа, зможе розшифрувати зашифровані дані
Знищити ключі
Зверніть увагу, що AWS тепер запобігає виконанню попередніх дій з іншого облікового запису:
Last updated