Исследователи из Varonis Threat Labs представили NotC2 — систему управления атаками, работающую исключительно на штатных сервисах AWS. Инструмент использует Amazon SQS, AWS Lambda, Amazon SNS и Amazon Bedrock для выполнения команд без использования выделенных серверов или специализированных протоколов.
Роль интерпретатора выполняет Amazon Bedrock, преобразующий текстовые запросы злоумышленника в API-вызовы облачной платформы. Система способна обрабатывать ошибки API и корректировать действия в режиме диалога, что позволяет проводить разведку инфраструктуры, например, запрашивать списки виртуальных машин или баз данных.
Для работы NotC2 требуются украденные учетные данные с правами на создание очередей SQS, функций Lambda и настройку связей между ними. Lambda выполняет команды от имени назначенной роли IAM, а SNS передает результаты на внешний HTTPS-адрес, что исключает необходимость прямого соединения с сервером атакующего.
Обнаружение системы затруднено, так как трафик проходит через легитимные сервисы AWS, что делает неэффективной блокировку IP-адресов. Varonis советует анализировать логи CloudTrail на предмет создания подозрительных подписок SNS, аномальной активности в Bedrock и необычных цепочек взаимодействия между сервисами.
Для защиты компания рекомендует ограничивать полномочия облачных ролей и разрешать подписки SNS только на доверенные адреса. Безопасность должна строиться на контроле связей между облачными ресурсами и мониторинге действий, совершаемых от имени конкретных учетных записей.
