Explorando a AWS com Pacu

Aviso Legal: Esta habilidade destina-se apenas a testes de penetração autorizados e fins educacionais. O Pacu realiza enumeração ativa, escalonamento de privilégios, persistência e backdooring contra contas AWS ativas. Execute-o APENAS contra contas que você possui ou tem autorização explícita por escrito (escopo/Regras de Engajamento) para testar. Muitos módulos criam alterações duráveis (novos usuários IAM, chaves de acesso, políticas); rastreie e remova tudo. O uso não autorizado é ilegal sob o CFAA e leis equivalentes.

Visão Geral

Pacu é o framework de exploração AWS de código aberto da Rhino Security Labs. É o análogo de cloud-pentest do Metasploit: um console Python modular que gerencia sessões de destino, enumera uma conta AWS, identifica caminhos de escalonamento de privilégios e executa módulos de persistência/backdooring/exfiltração — tudo apoiado por um banco de dados SQLite local que registra cada recurso enumerado para que os módulos possam se encadear com base nas descobertas uns dos outros.

Um engajamento do Pacu segue um arco consistente. Você cria uma sessão nomeada, carrega chaves AWS (com set_keys ou importando de ~/.aws/credentials), confirma a identidade com whoami, em seguida, enumera o IAM e o restante da conta. O fluxo de trabalho principal é iam__enum_permissions seguido por iam__privesc_scan, que verifica o principal comprometido contra ~20 primitivas de escalonamento de privilégios IAM da AWS conhecidas (por exemplo, iam:CreatePolicyVersion, iam:AttachUserPolicy, iam:PassRole + lambda:CreateFunction, sts:AssumeRole) e pode explorá-las automaticamente. Módulos de persistência como iam__backdoor_users_keys criam uma segunda chave de acesso em um usuário existente, e iam__backdoor_assume_role adiciona uma confiança a uma role para que o atacante possa assumi-la mais tarde.

Esta habilidade abrange a instalação do Pacu, gerenciamento de sessão e credenciais, enumeração de IAM, varredura e exploração automatizadas de escalonamento de privilégios, persistência/backdooring e acesso a dados — cada comando e nome de módulo verificado contra o projeto Rhino Security Labs. Fonte: github.com/RhinoSecurityLabs/pacu.

Quando Usar

• Realizando um teste de penetração autorizado na nuvem AWS ou um engajamento de equipe vermelha
• Avaliando o raio de explosão de uma única credencial IAM comprometida (varredura de escalonamento de privilégios)
• Demonstrando técnicas de persistência/backdoor para impulsionar a remediação
• Gerando telemetria realista de atacante para testar detecções na nuvem (equipe roxa)
• Mapeando a exposição de IAM, EC2, S3 e Lambda de uma conta AWS desconhecida

Pré-requisitos

• Pacu instalado:

  python3 -m pip install -U pip
  python3 -m pip install -U pacu     # then run: pacu
  # or, preferred on Kali, with pipx:
  pipx install git+https://github.com/RhinoSecurityLabs/pacu.git
  # or Docker:
  docker run -it rhinosecuritylabs/pacu:latest
  

• Chave de acesso/segredo AWS (e token de sessão opcional) para o principal de destino em escopo
• Um documento de autorização assinado / Regras de Engajamento definindo o escopo
• Python 3.9+ e HTTPS de saída para os endpoints da API AWS
• AWS CLI instalado para verificação (aws sts get-caller-identity)

Objetivos

• Instalar o Pacu e criar uma sessão de engajamento isolada
• Carregar e validar credenciais AWS de destino
• Enumerar permissões IAM para o principal comprometido
• Identificar e (onde autorizado) explorar caminhos de escalonamento de privilégios
• Estabelecer persistência via chaves de acesso de backdoor e confianças de role
• Enumerar e acessar dados em EC2, S3 e Secrets Manager
• Exportar descobertas para relatórios e garantir que todos os artefatos sejam removidos

Mapeamento MITRE ATT&CK

Fluxo de Trabalho

1. Iniciar o Pacu e criar uma sessão

pacu
# In the Pacu console:
Pacu> set_keys
#   key alias  : engagement-target
#   access key : AKIA...
#   secret key : ...
#   session tok: (optional)

2. Confirmar a identidade com a qual você está operando

Pacu> whoami

…