T1537: 将数据传输到云账户

摘要

攻击者可能通过将数据传输（包括通过共享/同步和创建云环境备份）到其在同一服务上控制的另一个云账户来外泄数据。 监控通过正常文件传输或命令与控制通道向云环境外部进行大量传输的防御者，可能不会留意向同一云提供商内另一个账户的数据传输。此类传输可能利用现有的云提供商 API 和云提供商的内部地址空间，以混入正常流量或避免通过外部网络接口进行数据传输。(Citation: TLDRSec AWS Attacks) 攻击者还可能使用云原生机制与攻击者控制的云账户共享受害者数据，例如创建匿名文件共享链接，或在 Azure 中创建共享访问签名（SAS）URI。(Citation: Microsoft Azure Storage Shared Access Signature) 已观察到攻击者创建云实例备份并将其转移到单独账户的事件。(Citation: DOJ GRU Indictment Jul 2018)