寄生云计算服务实现可信C2控制

概述

K3S是一个轻量级且易于部署和管理的Kubernetes服务，其在保持核心Kubernetes功能的同时，通过优化和去除不必要的组件，减小了集群的资源占用，适用于边缘计算、IoT设备和资源有限的环境。K3S将所有的核心组件都封装在了一个二进制文件当中，该文件支持直接启动Server与Agent节点，Agent节点通过k3s agnet进程发起WebSocket连接进行服务端注册，该连接作为agnet进程的一部分由客户端负载均衡组件维护。

参考K3S官方文档中的单服务器架构图[1]，攻击者可以利用K3S Server作为C2控制的服务端，利用K3S单文件部署快捷的特性，可快速将目标机器注册为C2 Server的Agent节点，进一步利用K3S完整的资源管理能力，对大规模的目标实施特权容器的部署与控制。

主节点服务仅需一条命令即可启动.

TOKEN具备注册新节点的权限，存储于主节点Server的/var/lib/rancher/k3s/server/node-token文件中。

通过K3S的二进制文件可以快速完成Agent节点的注册，完成注册后在K3S Server端调用kubectl命令可查看加入到集群中的节点信息，node name自动使用目标节点的主机名。

Pod作为K8S集群中可调度的最小计算单元，通过nodeSelector指定目标节点的标签实现特定节点的选取。

至此，攻击者已经可以合法的通过K3S服务在任意的控制节点上部署Pod，并通过kubectl exec命令特性进入到目标容器内执行命令，获取交互式的shell。

$ kubectl exec -it target-name -- /bin/bash

但上述的这种方式只能获取容器内shell的交互权限，无法操作宿主机上的资源，还是不能满足更进一步后渗透需求的。而nsenter作为一个可以进入到目标进程所在Namespace中的工具，通过给K3S节点上运行具备特权的nsenter Pod并与宿主机共享进程和网络的命名空间，使用--all参数加入所有的Namespace和cgroups，实现权限提升并且不受限制的访问宿主机资源。

利用这种方式可以在K3S集群内的任何节点上获取root权限的shell，从而实现稳定的远程控制。基于K3S实现远程控制相比于使用CS、Mythic、Sliver，虽然远控功能上不及这些专业的C2框架，但其通过合法的云组件实施攻击活动，可以有效的提高攻击的隐蔽性，降低被AV、EDR等端侧安全产品检测的风险。

AWS Systems Manager(SSM)是AWS应用程序和资源的运营管理中心，其提供了统一的管理界面实现对各个云资源实现配置、补丁、监控、操作等多种操作功能，可实现大规模的安全运营管理。Amazon SSM Agent作为支撑SSM服务的核心程序，支持安装在EC2、本地服务器等多种系统环境当中，SSM Agnet为SSM服务提供命令执行、远程会话管理等核心功能，并且默认安装在AWS的系统镜像当中（预装Agent镜像列表[2]）。

AWS SSM服务除了可以管理EC2实例外，其提供的多环境管理特性支持针对混合云以及多云环境下的机器进行注册与管理。

攻击者通过注册恶意的AWS账户并配置其中的混合激活功能，即可获取该接入该账户SSM服务的激活码与激活ID信息。

攻击者合法利用激活ID、激活码以及区域ID三个关键参数，实现SSM Agent上线注册；在混合激活的管理页面支持查看当前实例的注册情况。

在成功完成SSM Agent注册后，攻击者可合法利用服务中的管理功能对目标实施C2控制，基于SSM服务的会话管理功能可随时开启一个具备ssm-user权限的远程会话，并实施后续的攻击活动。

分析被控端机器进程列表可以发现，ssm agent会使用ssm-session-worker程序启动一个具备ssm-user用户权限的sh进程来满足会话管理需求。

除此之外，SSM控制面板还具备文件、用户等管理工具实现对目标主机的图形化管理，已经具备一些专业C2控制框架的基本功能；另外SSM服务支持针对大规模的控制节点执行特定的命令，并将执行结果统一存放到S3存储桶中进行管理，从命令的下发到结果的回传均利用其合法的服务完成攻击活动，具备极强的隐蔽性与可信度。

上文提到了SSM服务的混合管理特性支持在EC2、本地终端（Linux、Windows）以及其他云厂商实例等多种场景使用，并研究探索了该特性在可信C2控制活动上的技术可信性。利用AWS SSM实施C2攻击，这里也总结了3种可能出现的攻击场景。

该攻击场景主要以上文提到的攻击过程为主，攻击者通过注册恶意的AWS账户并滥用其SSM功能实现对非云端机器的可信控制，整个过程中无需自行搭建基础设施，仅需要SSM服务与SSM Agent即可实现C2控制；

该攻击场景主要应用于针对特定AWS EC2目标的控制管理，由于一些EC2实例的镜像当中已经包含了SSM Agent并启动了SSM服务进行实例管理，攻击者在无需额外上传Agent的情况下，通过劫持修改目标Agent的注册激活ID以及激活码，即可实现对其的控制；

缺点：由于修改了原SSM服务的地址，会导致原账户的SSM服务出现节点断连的警告

该攻击场景相比较于场景2来说，其具备更强的隐蔽性。由于劫持目标Agent会导致出现告警问题，因此可以在目标机器上启动新的Agent进程来减小对原有服务的干扰，而在目标机器上直接启动额外的Agent是会出现重复启动的问题，这里通过利用Linux系统下命名空间进程间资源隔离的特性，使用unshare命令创建新的命名空间，并挂载Agent运行的必要文件目录，从而实现两个Agent进程的相互隔离，有效的提高了控制过程中的隐蔽性。

寄生于云计算服务实现C2控制未来在一些特殊的攻防场景下也是一种发展趋势，随着云服务在各个业务场景当中广泛使用，攻击者在获取目标权限后，其中可能已经安装了具备合法运营管理的服务组件，攻击者在无需安装启动额外服务的情况下即可实现C2控制。基于云服务实施C2控制，在降低部署攻击基础设施成本的同时，云组件程序的合法签名、云服务的可信域名等高信誉云资源为攻击活动加持了“可信”的光环，在未来对防御检测也带来了新的挑战。

绿盟科技天元实验室专注于新型实战化攻防对抗技术研究。

研究目标包括：漏洞利用技术、防御绕过技术、攻击隐匿技术、攻击持久化技术等蓝军技术，以及攻击技战术、攻击框架的研究。涵盖Web安全、终端安全、AD安全、云安全等多个技术领域的攻击技术研究，以及工业互联网、车联网等业务场景的攻击技术研究。通过研究攻击对抗技术，从攻击视角提供识别风险的方法和手段，为威胁对抗提供决策支撑。

M01N Team公众号

聚焦高级攻防对抗热点技术

绿盟科技蓝军技术研究战队

官方攻防交流群

网络安全一手资讯

攻防技术答疑解惑

扫码加好友即可拉群