Недавние исследования показали, что злоумышленники нашли способ использовать сервис Amazon Web Services (AWS) X-Ray для создания скрытых каналов командного и контрольного управления (C2). Этот сервис, предназначенный для анализа производительности приложений, был переосмыслен исследователями в качестве стеганографического канала связи, получившего название XRayC2.
Техника, основанная на использовании системы аннотаций X-Ray, позволяет злоумышленникам передавать команды и извлекать данные через легитимные API-вызовы AWS. В частности, они используют функционал сегментов трассировки, внедряя вредоносные данные в, казалось бы, безобидные данные мониторинга. Злоумышленники применяют API-вызовы PutTraceSegments, GetTraceSummaries и BatchGetTraces для создания двусторонних каналов связи, которые сливаются с обычным облачным трафиком.
Передача команд осуществляется через закодированные в base64 полезные нагрузки, хранящиеся в аннотациях конфигурации, а результаты извлекаются через поля execution_result в структурах данных трассировки. Эта методология демонстрирует высокие способности к уклонению от обнаружения, используя аутентификацию AWS Signature Version 4 (SigV4), что создает легитимный трафик API AWS, который естественно интегрируется в стандартные сетевые журналы.
Ключевым моментом является то, что XRayC2 требует минимальных разрешений AWS, используя политику AWSXRayDaemonWriteAccess и настраиваемые разрешения для манипуляции трассировками. Это значительно снижает поверхность атаки по сравнению с традиционной инфраструктурой C2, сохраняя при этом постоянный доступ через облачные сервисы.
Обнаружение этой техники представляет собой сложную задачу для команд безопасности, так как вредоносный трафик выглядит как стандартные действия по мониторингу производительности приложений. Организациям рекомендуется внедрить улучшенный мониторинг использования API X-Ray, установить базовые метрики для объемов данных аннотаций трассировки и внимательно следить за необычными взаимодействиями сервисов в своих AWS-средах, чтобы выявить возможное злоупотребление легитимными облачными сервисами для скрытой связи.