Специалисты исследовательского подразделения компании Varonis Systems, специализирующегося на кибербезопасности, Varonis Threat Labs разработали NotC2 — демонстрационную систему скрытого управления (Command and Control, C2), которая целиком работает на штатных сервисах AWS. Вместо отдельного сервера и специального сетевого протокола она использует Amazon SQS, AWS Lambda, Amazon SNS и Amazon Bedrock. Последний выполняет роль ИИ-интерпретатора: злоумышленнику достаточно написать запрос обычным языком, например «покажи все запущенные экземпляры EC2 и их IP-адреса», чтобы система самостоятельно сформировала соответствующий вызов API облачной платформы.
Каждый сервис в этой цепочке выполняет отдельную функцию. SQS принимает команды от внешнего сервера злоумышленника через очередь сообщений. Lambda запускает функцию при поступлении новой команды и выполняет её с правами назначенной облачной роли. Bedrock преобразует текстовый запрос в операцию AWS, а SNS отправляет результат на внешний HTTPS-адрес, подписанный на уведомления. При этом сама функция Lambda не устанавливает прямое соединение с сервером атакующего. Она лишь публикует результат в SNS, который доставляет его получателю. Выполнение каждой функции Lambda ограничено 15 минутами, а постоянный процесс управления на заражённой машине не требуется.
Источник изображения: сгенерировано Muse
NotC2 развивает уже известные способы злоупотребления облачной инфраструктурой. Ранее специалисты демонстрировали передачу команд через аннотации трассировок AWS X-Ray и использование объектов Amazon S3 для обмена заданиями и результатами с маяками Cobalt Strike. Однако эти подходы задействовали отдельные сервисы. В NotC2 объединён весь цикл управления, включая интерпретацию команд с помощью ИИ. Модель способна не только формировать запросы, но и обрабатывать ошибки API: если операция завершается неудачно, система передаёт ответ обратно модели, которая может исправить запрос или предложить следующий шаг. Это позволяет вести разведку облачной инфраструктуры в формате диалога, например спрашивать, к каким ресурсам у атакующего есть доступ.
Varonis продемонстрировала получение списков виртуальных машин EC2, таблиц DynamoDB, баз данных и функций Lambda. При наличии соответствующих разрешений аналогичным способом можно удалять объекты S3 и экземпляры EC2. При этом NotC2 не взламывает Amazon Bedrock и не обходит систему разграничения доступа AWS: для работы ей уже нужны украденные учётные данные с достаточными полномочиями. Развёртывание также требует разрешений на создание очередей SQS, функций Lambda и связей между ними, а также передачи Lambda существующей роли IAM (системы управления правами доступа AWS). Если подходящей роли нет, понадобятся дополнительные полномочия для её создания.
Главная сложность для защитников — отсутствие привычных сетевых признаков атаки. Вредоносный трафик проходит через легитимные сервисы AWS, поэтому блокировка подозрительных IP-адресов, доменов и нестандартных протоколов здесь малоэффективна. Искать NotC2 приходится в журналах CloudTrail, Lambda, SNS и Amazon Bedrock: среди тревожных признаков Varonis выделяет создание подписки SNS на внешний HTTP- или HTTPS-адрес от имени роли Lambda, внезапное увеличение числа обращений к моделям Bedrock и последовательность операций SQS, Lambda, Bedrock и SNS. Компания рекомендует ограничивать права облачных ролей, разрешать подписки SNS только на одобренные адреса и отслеживать необычные связи между сервисами. Таким образом, защита должна учитывать не только сетевой периметр, но и то, какие облачные ресурсы могут взаимодействовать друг с другом и от чьего имени.
