T1651: 云管理命令
摘要
攻击者可能滥用云管理服务来在虚拟机内执行命令。诸如 AWS Systems Manager、Azure RunCommand 和 Runbooks 之类的资源允许用户利用已安装的虚拟机代理在虚拟机中远程运行脚本。(Citation: AWS Systems Manager Run Command)(Citation: Microsoft Run Command) 如果攻击者获得对云环境的管理访问权限，他们可能能够滥用云管理服务在该环境的虚拟机中执行命令。此外，攻陷服务提供商或委派管理员账户的攻击者，同样可能能够利用[信任关系](https://attack.mitre.org/techniques/T1199)在连接的虚拟机中执行命令。(Citation: MSTIC Nobelium Oct 2021)
来源归属
来源：MITRE ATT&CK · 置信度：high
平台
- IaaS
战术
执行
参考来源
- https://attack.mitre.org/techniques/T1651
- https://docs.aws.amazon.com/systems-manager/latest/userguide/run-command.html
- https://www.microsoft.com/security/blog/2021/10/25/nobelium-targeting-delegated-administrative-privileges-to-facilitate-broader-attacks/
- https://learn.microsoft.com/en-us/azure/virtual-machines/run-command-overview