AWS - EC2 Persistência

Reading time: 4 minutes

tip

Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprenda e pratique Hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Support HackTricks

EC2

Para mais informações consulte:

AWS - EC2, EBS, ELB, SSM, VPC & VPN Enum

Security Group Connection Tracking Persistence

Se um defensor descobrir que uma instância EC2 foi comprometida ele provavelmente tentará isolar a rede da máquina. Ele pode fazer isso com um Deny NACL explícito (mas NACLs afetam toda a subnet), ou alterando o security group para não permitir any kind of inbound or outbound traffic.

Se o atacante tiver um reverse shell originated from the machine, mesmo que o SG seja modificado para não permitir inbound ou outbound traffic, a conexão não será encerrada devido a Security Group Connection Tracking.

EC2 Lifecycle Manager

Este serviço permite agendar a criação de AMIs e snapshots e até compartilhá-los com outras contas.
Um atacante poderia configurar a geração de AMIs ou snapshots de todas as imagens ou de todos os volumes toda semana e compartilhá-los com sua conta.

Scheduled Instances

É possível agendar instâncias para rodar diariamente, semanalmente ou até mensalmente. Um atacante poderia executar uma máquina com altos privilégios ou acesso interessante ao qual ele poderia se conectar.

Spot Fleet Request

Spot instances são mais baratas que instâncias regulares. Um atacante poderia lançar um small spot fleet request for 5 year (por exemplo), com automatic IP assignment e um user data que envia para o atacante quando a spot instance start o endereço IP e com um high privileged IAM role.

Backdoor Instances

Um atacante poderia obter acesso às instâncias e instalar backdoors nelas:

  • Usando um rootkit tradicional, por exemplo
  • Adicionando uma nova public SSH key (ver EC2 privesc options)
  • Backdooring o User Data

Backdoor Launch Configuration

  • Backdoor o AMI usado
  • Backdoor o User Data
  • Backdoor o Key Pair

EC2 ReplaceRootVolume Task (Stealth Backdoor)

Troque o volume root EBS de uma instância em execução por um construído a partir de um AMI ou snapshot controlado pelo atacante usando CreateReplaceRootVolumeTask. A instância mantém suas ENIs, IPs, e role, inicializando efetivamente em código malicioso enquanto aparenta não ter sido alterada.

AWS - EC2 ReplaceRootVolume Task (Stealth Backdoor / Persistence)

VPN

Criar uma VPN para que o atacante possa conectar-se diretamente à VPC.

VPC Peering

Criar uma peering connection entre a VPC vítima e a VPC do atacante para que ele possa acessar a VPC vítima.

tip

Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprenda e pratique Hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Support HackTricks