Az - Automation Accounts Persistence

Reading time: 2 minutes

Storage Privesc

Automation Accounts에 대한 자세한 정보는 다음을 확인하세요:

Az - Automation Accounts

기존 런북에 백도어 추가

공격자가 자동화 계정에 접근할 수 있다면, 그는 기존 런북에 백도어를 추가하여 지속성을 유지하고 런북이 실행될 때마다 토큰과 같은 데이터를 유출할 수 있습니다.

일정 및 웹훅

기존 런북을 생성하거나 수정하고 일정 또는 웹훅을 추가하세요. 이렇게 하면 공격자가 환경에 대한 접근이 상실되더라도 지속성을 유지할 수 있습니다. 이는 특정 시간에 MI에서 토큰을 유출할 수 있는 백도어를 실행하거나 원하는 때에 웹훅에 요청을 보내는 방식으로 가능합니다.

하이브리드 작업자 그룹에서 사용되는 VM 내의 악성코드

VM이 하이브리드 작업자 그룹으로 사용되는 경우, 공격자는 VM 내에 악성코드를 설치하여 지속성을 유지하고 VM과 자동화 계정에 부여된 관리 ID의 토큰과 같은 데이터를 유출할 수 있습니다.

사용자 정의 환경 패키지

자동화 계정이 사용자 정의 환경에서 사용자 정의 패키지를 사용하는 경우, 공격자는 패키지를 수정하여 지속성을 유지하고 토큰과 같은 데이터를 유출할 수 있습니다. 이는 수동으로 업로드된 사용자 정의 패키지가 악성 코드를 위해 거의 확인되지 않기 때문에 은밀한 지속성 방법이 될 수 있습니다.

외부 리포지토리 타격

자동화 계정이 Github과 같은 외부 리포지토리를 사용하여 코드를 저장하는 경우, 공격자는 리포지토리를 타격하여 지속성을 유지하고 토큰과 같은 데이터를 유출할 수 있습니다. 이는 코드의 최신 버전이 런북과 자동으로 동기화되는 경우 특히 흥미롭습니다.