T1537 - Передача данных облачными учетными записями

Техники:  T1537

Злоумышленники могут осуществлять эксфильтрацию данных, передавая их, в том числе путем обмена/синхронизации и создания резервных копий облачных сред, на другой контролируемый ими облачный аккаунт на том же сервисе.

Защитник, следящий за передачей больших объемов данных за пределы облачной среды посредством обычной передачи файлов или по каналам управления, может не следить за передачей данных на другую учетную запись в рамках одного и того же облачного провайдера.Такие передачи могут использовать существующие API облачного провайдера и внутреннее адресное пространство облачного провайдера, чтобы слиться с обычным трафиком или избежать передачи данных через внешние сетевые интерфейсы.(Цитата: TLDRSec AWS Attacks)

Злоумышленники также могут использовать "облачные" механизмы для обмена данными жертвы с контролируемыми Злоумышленником облачными учетными записями, например, создавать анонимные ссылки для совместного использования файлов или, в Azure, URI с общей подписью доступа (SAS).(Цитата: Microsoft Azure Storage Shared Access Signature)

Наблюдались случаи, когда злоумышленники создавали резервные копии облачных инстансов и переносили их на отдельные учетные записи.(Цитата: DOJ GRU Indictment Jul 2018)

https://attack.mitre.org/techniques/T1537

← Назад

Визуализация смежных техник для T1537