T1098.003: 额外的云角色

摘要

攻击者可能向由攻击者控制的云账户添加额外的角色或权限，以维持对租户的持久访问。例如，攻击者可能更新基于云的环境中的 IAM 策略，或在 Office 365 环境中添加新的全局管理员。(Citation: AWS IAM Policies and Permissions)(Citation: Google Cloud IAM Policies)(Citation: Microsoft Support O365 Add Another Admin, October 2019)(Citation: Microsoft O365 Admin Roles)在拥有足够权限的情况下，一个已沦陷的账户几乎可以获得对数据和设置的无限制访问权(包括重置其他管理员密码的能力)。(Citation: Expel AWS Attacker)(Citation: Microsoft O365 Admin Roles) 这种账户修改可能紧随 [Create Account](https://attack.mitre.org/techniques/T1136) 或其他恶意账户活动之后发生。攻击者还可能修改其已攻陷的现有 [Valid Accounts](https://attack.mitre.org/techniques/T1078)。这可能导致权限提升，尤其是当添加的角色允许横向移动到其他账户时。 例如，在 AWS 环境中，拥有适当权限的攻击者可能能够使用 <code>CreatePolicyVersion</code> API 定义 IAM 策略的新版本，或使用 <code>AttachUserPolicy</code> API 将具有额外或不同权限的 IAM 策略附加到已沦陷的用户账户。(Citation: Rhino Security Labs AWS Privilege Escalation) 在某些情况下，攻击者可能向受害者云租户之外由攻击者控制的账户添加角色。这允许这些外部账户在受害者租户内执行操作，而无需要求攻击者 [Create Account](https://attack.mitre.org/techniques/T1136) 或修改受害者拥有的账户。(Citation: Invictus IR DangerDev 2024)