T1586.003: 云账户

摘要

攻击者可能攻陷可在目标定位期间使用的云账户。攻击者可以使用被攻陷的云账户推进其操作，包括利用云存储服务（如 Dropbox、Microsoft OneDrive 或 AWS S3 存储桶）进行[外泄至云存储](https://attack.mitre.org/techniques/T1567/002)或[上传工具](https://attack.mitre.org/techniques/T1608/002)。云账户还可用于获取基础设施，例如[虚拟专用服务器](https://attack.mitre.org/techniques/T1583/003)或[无服务器](https://attack.mitre.org/techniques/T1583/007)基础设施。此外，基于云的消息服务，例如 Twilio、SendGrid、AWS End User Messaging、AWS SNS（Simple Notification Service）或 AWS SES（Simple Email Service），可能被用于垃圾邮件或[钓鱼](https://attack.mitre.org/techniques/T1566)。(Citation: Palo Alto Unit 42 Compromised Cloud Compute Credentials 2022)(Citation: Netcraft SendGrid 2024) 攻陷云账户可能使攻击者能够发展复杂的能力，而无需管理自己的服务器。(Citation: Awake Security C2 Cloud) 存在各种攻陷云账户的方法，例如通过[信息钓鱼](https://attack.mitre.org/techniques/T1598)收集凭据、从第三方站点购买凭据、进行[密码喷洒](https://attack.mitre.org/techniques/T1110/003)攻击，或试图[窃取应用程序访问令牌](https://attack.mitre.org/techniques/T1528)。(Citation: MSTIC Nobelium Oct 2021) 在攻陷云账户之前，攻击者可能进行侦察，以确定攻陷哪些账户才能推进其操作。在某些情况下，攻击者可能针对特权服务提供商账户，意图利用服务提供商与其客户之间的[受信任关系](https://attack.mitre.org/techniques/T1199)。(Citation: MSTIC Nobelium Oct 2021)