IMDSPOOF

IMDSPOOF ist ein Cyber-Deception-Tool, das einen AWS-IMDS-Dienst vortäuscht. Eine Möglichkeit für Angreifer, in einer Cloud-Umgebung Privilegien zu eskalieren oder sich lateral zu bewegen, ist der Abruf von AWS-Zugriffsschlüsseln vom IMDS-Dienst Endpunkt unter http://169.254.169.254/latest/meta-data/iam/security-credentials/<user>. Dieses Tool täuscht diesen Endpunkt vor und leitet den an 169.254.169.254 gesendeten Verkehr an einen lokalen Webserver um, der gefälschte Daten ausliefert. Dies kann für hochgradig abgestimmte Erkennungen genutzt werden, indem Honey-AWS-Tokens in die Antwort des vorgetäuschten IMDS eingefügt werden.

Für wen ist das gedacht?

Dieses Tool ist für Blue Teams auf AWS-Instanzen gedacht, die NICHT aktiv den IMDS (Version 1 oder 2) nutzen.

Aus der Perspektive eines Angreifers haben sie keine Ahnung, ob der IMDS auf der EC2-Instanz, in der sie sich befinden, genutzt wird. Das Ziel von IMDSPOOF ist es, einen Angreifer, der in Ihre Cloud-Umgebung gelangt, in dem Glauben zu lassen, dass er mit einem legitimen IMDS-Dienst interagiert.

⚠️ Warnung ⚠️

Noch einmal: Wenn die Anwendungen auf Ihrer EC2-Instanz den IMDS-Dienst NUTZEN, wird dieses Tool Probleme verursachen!

Testen Sie es aus

Um IMDSPOOF in einer Testumgebung auszuprobieren, erstellen Sie eine EC2-Instanz und stellen Sie sicher, dass iptables installiert ist (yum install iptables-services bei Verwendung von Amazon Linux)

• Kompilieren und ausführen von IMDS.go (Go-Code kompilieren)
• Um zu testen, wie die Ausgabe aussieht, führen Sie curl http://169.254.169.254/latest/meta-data/iam/security-credentials/ec2-admin aus
• Sie sollten die folgende Ausgabe sehen:

{
  "Code": "Success",
  "Message": "The request was successfully processed.",
  "LastUpdated": "2023-11-22T03:33:51Z",
  "Type": "AWS-HMAC",
  "AccessKeyId": "InsertHoneyToken",
  "SecretAccessKey": "InsertHoneyToken",
  "Token": "HoneyToken",
  "Expiration": "2023-11-22T09:33:51Z"
}

• Um die Änderungen des vorherigen iptables-Befehls rückgängig zu machen, führen Sie Folgendes aus: iptables -t nat -D OUTPUT -p tcp -d 169.254.169.254 --dport 80 -j DNAT --to-destination 127.0.0.1:54321

Anpassung

Damit dies nützlich ist, müssen Sie die Variablen am Anfang der IMDS.go-Datei so ändern, dass sie realistischer aussehen. Ich empfehle dringend, Honey-Tokens in die Datei einzufügen. Sie können die token-Variable unverändert lassen oder in eine benutzerdefinierte ändern.

• Ändern Sie diese Variablen am Anfang von IMDS.go auf das, was beim Zugriff auf http://169.254.169.254/latest/meta-data/iam/security-credentials/ec2-admin zurückgegeben werden soll

var accessKey string = "InsertHoneyToken"
var secretAccessKey string = "InsertHoneyToken"
var token string = "IQoJb3Jpz2cXpQRkpVX3Uf////////////xMdLZHNjb<snip>"

HoneyTokens erhalten

Die Leute von Thinkst Canary haben ein wunderbares Tool, mit dem Sie einfach AWS-Anmeldeinformationen generieren können, die bei Verwendung einen Alarm auslösen.

1. Besuchen Sie CanaryTokens
2. Wählen Sie AWS Keys, geben Sie eine E-Mail-Adresse für den Alarm ein und einen Hinweis, wofür der Alarm bestimmt ist

3. Notieren Sie das bereitgestellte Honey-Token

aws_access_key_id = AKIA....
aws_secret_access_key = uZF0y/l5X....

4. Ersetzen Sie im Quellcode von IMDS.go die Variablen accessKey und secretAccessKey durch die Werte aws_access_key_id und aws_secret_access_key, die Ihnen von CanaryTokens gegeben wurden.

5. Kompilieren Sie IMDS.go. IMDS gibt nun die Honey-Tokens zurück, wenn der IMDS abgefragt wird.

6. Warten Sie, bis ein Angreifer versucht, die Anmeldeinformationen zu verwenden.

8. E-Mail-Alarm von Canary Token

Beim Start ausführen

Das Ausführen von IMDS-Spoof beim Start kann einfach durch Erstellen eines systemd-Dienstes und Aktivieren des Dienstes erfolgen.

• Erstellen Sie eine Dienstdatei: sudo vim /etc/systemd/system/IMDS.service (Sie können dies bei Bedarf etwas tarnender benennen, aber die folgenden systemctl-Befehle erwarten, dass der Dienst IMDS.service heißt)
• Fügen Sie Folgendes in die soeben erstellte Datei IMDS.service ein:

[Unit]
# Change this to something else if you wish
Description=IMDSPOOF 

# After dependencies are available
After=multi-user.target

[Service]
# Type of service
Type=simple

# Command to execute the service program
ExecStart=/bin/IMDS

# User to run the service as
User=root

# Restart if the service crashes
Restart=always

# Restart delay in seconds
RestartSec=10

[Install]
# Enable the service at boot
WantedBy=multi-user.target

• Stellen Sie sicher, dass die IMDS-Binärdatei im Verzeichnis /bin/ liegt: sudo mv IMDS /bin/
• Aktivieren Sie den Dienst, damit er beim Booten startet: sudo systemctl enable IMDS
• Starten Sie den Dienst jetzt: sudo systemctl start IMDS
• Stellen Sie sicher, dass alles korrekt läuft: sudo systemctl status IMDS

Funktioniert das mit SSRF?

Ja! Aufgrund der Art und Weise, wie IMDSpoof die iptables auf der EC2-Instanz manipuliert, spielt es keine Rolle, woher der Verkehr kommt. Das bedeutet, dass IMDSpoof zusätzlich zur Funktion über das curl-Dienstprogramm auf der EC2-Instanz auch funktioniert, wenn eine SSRF-Schwachstelle über eine auf der EC2-Instanz gehostete Webanwendung gefunden wird. Mit der folgenden verwundbaren Anwendung aus AlexanderHoses Blog zum IMDS-Pentesting können wir die SSRF-Schwachstelle ausnutzen, die ebenfalls die gefälschten Anmeldeinformationen von IMDSpoof zurückgibt.

Rückgängig machen

• Stoppen des systemd-Dienstes: sudo systemctl stop IMDS
• Deaktivieren des systemd-Dienstes für den Start beim Booten: sudo systemctl disable IMDS
• Um die von IMDSPOOF an iptables vorgenommenen Änderungen rückgängig zu machen, führen Sie den folgenden Befehl aus: iptables -t nat -D OUTPUT -p tcp -d 169.254.169.254 --dport 80 -j DNAT --to-destination 127.0.0.1:54321