AWS - S3 Pós-Exploração

Reading time: 4 minutes

S3

Para mais informações consulte:

AWS - S3, Athena & Glacier Enum

Informações Sensíveis

Às vezes é possível encontrar informações sensíveis legíveis nos buckets. Por exemplo, terraform state secrets.

Pivoting

Diferentes plataformas podem usar S3 para armazenar ativos sensíveis.
Por exemplo, airflow pode estar armazenando DAGs code lá, ou web pages podem ser servidas diretamente a partir do S3. Um atacante com permissões de escrita poderia modify the code no bucket para pivot para outras plataformas, ou takeover accounts modificando arquivos JS.

S3 Ransomware

Neste cenário, o atacante cria uma chave KMS (Key Management Service) em sua própria conta AWS ou em outra conta comprometida. Em seguida, ele torna essa chave acessível a qualquer pessoa no mundo, permitindo que qualquer usuário, role, ou conta AWS criptografe objetos usando essa chave. No entanto, os objetos não podem ser descriptografados.

O atacante identifica um bucket alvo e obtém acesso de escrita a ele usando vários métodos. Isso pode ocorrer devido a uma configuração inadequada do bucket que o expõe publicamente ou porque o atacante obteve acesso ao próprio ambiente AWS. O atacante normalmente mira em buckets que contêm informações sensíveis como personally identifiable information (PII), protected health information (PHI), logs, backups, e mais.

Para determinar se o bucket pode ser alvo de ransomware, o atacante verifica sua configuração. Isso inclui verificar se S3 Object Versioning está habilitado e se multi-factor authentication delete (MFA delete) está habilitado. Se Object Versioning não estiver habilitado, o atacante pode prosseguir. Se Object Versioning estiver habilitado mas MFA delete estiver desabilitado, o atacante pode desabilitar Object Versioning. Se tanto Object Versioning quanto MFA delete estiverem habilitados, torna-se mais difícil para o atacante realizar ransomware naquele bucket específico.

Usando a AWS API, o atacante substitui cada objeto no bucket por uma cópia criptografada usando sua chave KMS. Isso efetivamente criptografa os dados no bucket, tornando-os inacessíveis sem a chave.

Para aumentar a pressão, o atacante agenda a exclusão da chave KMS usada no ataque. Isso dá ao alvo uma janela de 7 dias para recuperar seus dados antes que a chave seja excluída e os dados se tornem permanentemente perdidos.

Finalmente, o atacante pode enviar um arquivo final, geralmente chamado "ransom-note.txt", que contém instruções para o alvo sobre como recuperar seus arquivos. Este arquivo é enviado sem criptografia, provavelmente para chamar a atenção do alvo e torná-lo ciente do ataque de ransomware.

Para mais informações check the original research.