Descripción de la Tecnica
Modify Cloud Compute Infrastructure es una técnica de ataque del MITRE ATT&CK que describe cómo un adversario puede modificar el entorno de computación en la nube de una cuenta para evitar la detección. Esta acción incluye la creación, eliminación o modificación de componentes críticos como instancias de cómputo, máquinas virtuales y copias de seguridad. El objetivo principal es alterar el infraestructura para ocultar actividades maliciosas o mantener acceso no autorizado.
¿Cómo Funciona?
El atacante aprovecha permisos con los que cuenta en la nube para realizar cambios en el entorno de cómputo. Estos cambios pueden incluir:
- Crea instancias o máquinas virtuales con configuraciones anómalas.
- Elimina componentes que no estén registrados en registros de seguridad.
- Modifica atributos de recursos para ocultar actividades sospechosas.
Estos cambios pueden ayudar a evitar controles de acceso o a mantener una presencia persistente en la nube, especialmente cuando se combinan con otras técnicas como T1578 (Execution).
Actores que la Utilizan
No hay Indicadores de Compromiso publicos disponibles. No existen datos públicos asociados a actores específicos que utilicen esta técnica. Sin embargo, se asocia con adversarios que buscan mantener acceso a sistemas en la nube o evitar detección mediante alteraciones en el entorno de cómputo.
Detección
La detección de esta técnica requiere monitorear cambios no autorizados en la infraestructura de la nube. Se deben revisar:
- Cambios inesperados en instancias o máquinas virtuales.
- Acciones anómalas como creación de copias de seguridad sin justificación.
- Permisos no autorizados para modificar componentes críticos.
La auditoría de registros de actividad en la nube y el uso de herramientas de monitoreo como AWS CloudTrail o Azure Activity Log son esenciales para identificar comportamientos sospechosos.
Indicadores de Compromiso (IOCs)
No hay Indicadores de Compromiso publicos disponibles.
Mitigación
Para mitigar el riesgo asociado a esta técnica:
- Habilitar MFA para cuentas de nube y limitar acceso a usuarios con privilegios elevados.
- Monitorear cambios en la infraestructura utilizando herramientas de auditoría en la nube.
- Implementar políticas de acceso estrictas y revisar permisos para evitar modificaciones no autorizadas.
- Revisar logs de actividad para identificar patrones inusuales en la creación o modificación de recursos.