T1648: 无服务器执行

摘要

攻击者可能滥用无服务器计算、集成和自动化服务，以在云环境中执行任意代码。许多云提供商提供各种无服务器资源，包括计算引擎、应用程序集成服务和 Web 服务器。 攻击者可能以各种方式滥用这些资源，作为执行任意命令的手段。例如，攻击者可能使用无服务器函数执行恶意代码，如加密挖矿恶意软件（即[资源劫持](https://attack.mitre.org/techniques/T1496)）。(Citation: Cado Security Denonia) 攻击者还可能创建能够进一步攻陷云环境的函数。例如，攻击者可能使用 AWS 中的 `IAM:PassRole` 权限或 Google Cloud 中的 `iam.serviceAccounts.actAs` 权限，为无服务器云函数添加[额外的云角色](https://attack.mitre.org/techniques/T1098/003)，该函数随后可能能够执行原始用户无法执行的操作。(Citation: Rhino Security Labs AWS Privilege Escalation)(Citation: Rhingo Security Labs GCP Privilege Escalation) 无服务器函数还可以响应云事件而被调用（即[事件触发执行](https://attack.mitre.org/techniques/T1546)），可能实现随时间推移的持久执行。例如，在 AWS 环境中，攻击者可能创建一个 Lambda 函数，自动为用户添加[额外的云凭据](https://attack.mitre.org/techniques/T1098/001)，并创建一个相应的 CloudWatch 事件规则，每当创建新用户时调用该函数。(Citation: Backdooring an AWS account) 这在许多基于云的办公应用程序套件中也是可能的。例如，在 Microsoft 365 环境中，攻击者可能创建一个 Power Automate 工作流，转发用户收到的所有电子邮件，或每当用户在 SharePoint 中被授予对文档的访问权限时创建匿名共享链接。(Citation: Varonis Power Automate Data Exfiltration)(Citation: Microsoft DART Case Report 001) 在 Google Workspace 环境中，他们可能改为创建一个 Apps Script，在用户打开文件时外泄其数据。(Citation: Cloud Hack Tricks GWS Apps Script)(Citation: OWN-CERT Google App Script 2024)