Los entornos de nube se han convertido en uno de los objetivos principales de la ciberseguridad moderna. Actualmente, los atacantes están manipulando los servicios de registro (logging), como AWS CloudTrail y Google Cloud Logging, para evadir la detección y exfiltrar datos, convirtiendo las herramientas de monitoreo en armas contra los propios equipos de seguridad.

Los entornos en la nube se han convertido silenciosamente en una de las áreas más atacadas en la ciberseguridad moderna. A medida que las organizaciones migran a la nube, los servicios que rastrean la actividad dentro de esos entornos se han convertido en una prioridad máxima para los atacantes.

Los servicios de registro (logging), que graban cada acción realizada dentro de una cuenta de la nube, están siendo ahora utilizados como armas contra los mismos equipos que dependen de ellos.

Cuando estos registros son manipulados o redirigidos, los equipos de seguridad pierden la ventana más clara para ver lo que ocurre dentro de su propia infraestructura.

AWS CloudTrail y Google Cloud Logging son dos de los servicios más utilizados de este tipo. Ambos están diseñados para dar a las organizaciones una imagen completa de la actividad en sus entornos de nube, registrando llamadas a la API, cambios en los recursos y acciones de usuario en tiempo real.

Pero esa misma profundidad de visibilidad los convierte en un objetivo de alto valor. Un atacante que pueda interferir con estos registros puede moverse sin ser detectado, borrar la evidencia de su actividad o vigilar silenciosamente todo lo que hace la víctima sin ser notado.

Investigadores de Unit 42 identificaron y documentaron estos métodos de ataque, desglosando cómo los atacantes se enfocan en el registro de la nube de dos maneras distintas.

La primera es la evasión de defensas, donde los atacantes desactivan o corrompen los registros para evitar la detección. La segunda es la visibilidad continua, donde los atacantes redirigen los registros a su propia infraestructura para monitorear silenciosamente el entorno de nube de una víctima a lo largo del tiempo.

La escala del daño es significativa. Herramientas como las plataformas SIEM, los sistemas SOAR y los productos de gestión de la postura de seguridad en la nube dependen todos de datos de registro limpios y sin interrupciones para funcionar.

Si esos registros faltan, se alteran o se redirigen, esas herramientas quedan ciegas. Un atacante que opere en ese silencio puede tomarse su tiempo, escalar privilegios y acceder a datos sensibles mientras enfrenta casi ninguna resistencia por parte de los equipos de seguridad.

Abusan de AWS CloudTrail y Google Cloud Logging

La evasión de defensas a través del registro en la nube toma varias formas. El método más directo es detener el proceso de registro por completo.

En AWS, un atacante con los permisos adecuados puede llamar a la API stop-logging en un rastro específico, deteniendo inmediatamente todas las escrituras de registros en el bucket S3 conectado.

En Google Cloud, lo equivalente es desactivar un "sink", lo que impide que las entradas del registro lleguen a su destino.

Más allá de detener los registros, los atacantes pueden eliminar el bucket de almacenamiento por completo. En AWS, esto requiere los permisos s3:DeleteBucket y s3:DeleteObject. En Google Cloud, un bucket de registros eliminado entra en un estado DELETE_REQUESTED durante siete días antes de su eliminación permanente.

Un enfoque más sutil implica intercambiar la clave de cifrado que protege los registros por una clave KMS controlada por el atacante y luego revocar el acceso a ella, haciendo que sea imposible escribir o leer los registros.

El quinto método es el envenenamiento de registros, donde un atacante edita un archivo de registro para eliminar la evidencia de su actividad y lo vuelve a subir, invalidando la traza de auditoría.

Los atacantes redirigen los registros para obtener acceso de espionaje en tiempo real

Una vez dentro del entorno de una víctima, los atacantes sofisticados no se limitan a destruir los registros. Los redirigen creando un nuevo recurso de enrutamiento o modificando uno existente, enviando todos los registros de actividad a un almacenamiento que ellos controlan.

En AWS, esto se hace utilizando la API create-trail o update-trail con un nombre de bucket personalizado. En Google Cloud, la API logging.sinks.create o logging.sinks.update logra el mismo resultado.

A partir de ese momento, el atacante recibe una transmisión en vivo de todo lo que sucede en la cuenta de la víctima, desde cambios en IAM hasta el acceso a datos sensibles, todo sin que la víctima lo sepa.

Para reducir la exposición, los usuarios de AWS deben restringir la API update-trail a usuarios con privilegios muy altos y bloquear las políticas del bucket S3 para que solo CloudTrail pueda escribir en ellos.

AWS también mantiene un historial de eventos inmutable de 90 días que no puede ser alterado. En Google Cloud, los equipos deben restringir estrictamente los permisos de logging.sinks.update.

El bucket de registros integrado _Required proporciona un registro inmutable que no puede ser modificado ni eliminado. Activar la validación de integridad de los archivos de registro de CloudTrail también es fundamental, ya que utiliza controles criptográficos para detectar si los archivos de registro fueron cambiados después de la entrega.

Fuentes:
https://cybersecuritynews.com/hackers-abuse-aws-cloudtrail-and-google-cloud-logging/