AWS IAM Key 유출 및 IMDSv1 SSRF를 통한 S3 데이터 유출

간단한 사전 지식

SSRF는 공격자가 웹 애플리케이션에 악의적인 요청을 보내 웹 서버로 하여금 공격자가 의도한 내부 또는 외부 자원에 대리 HTTP 요청을 보내도록 만드는 취약점이다.

→ 웹 애플리케이션이 외부 URL의 데이터를 가져오는 기능을 수행할 때, 사용자가 입력한 URL 인자에 대해 적절한 검증을 거치지 않기 때문이다.

IMDSv1은 AWS EC2 인스턴스 내부에서 실행 중인 코드나 프로세스가 인스턴스 속성, 호스트 이름, 네트워크 설정, IAM Role 자격 증명 등의 정보에 접근할 수 있도록 제공되는 내부 REST API 엔드포인트 이다.

→ 특수 IP 주소http://169.254.169.254 오직 EC2 인스턴스 내부에서만 접근 가능

개요

외부 공격자가 유출된 IAM Key 및 EC2 SSRF 취약점을 악용하여 내부 AWS 인프라에 접근하고, 민감 S3 버킷의 데이터를 외부로 유출하는 시나리오

공격 대상

AWS IAM, EC2, S3 Bucket

MITRE ATT&CK Matrix 매핑

1. Credential Access (자격 증명 접근)

• 기법 ID : T1552.001
• 기술명 : Unsecured Credentials( 보호되지 않은 자격 증명 / 소스코드 및 파일 내 자격 증명 노출) : Credentials In Files
• 공격자가 타겟 환경 내부로 처음 진입하기 위해, GitHub Public 저장소나 설정 파일 등에 실수로 노출된 AWS Access Key / Secret Key 같은 자격 증명을 탈취하여 진입하는 단계이다.

1. Discovery (발견)

• 기법 ID : T1087.004
• 기술명 : Account Discovery : Cloud Account (클라우드 계정 정보 검색)
• 최초 진입에 성공한 공격자가 타겟 클라우드 환경의 권한 및 계정 구조를 파악하는 단계이다. aws sts get-caller-identity 명령어를 통해 자신의 권한과 계정 정보를 확인한다.