Descripcion de la Tecnica
Transfer Data to Cloud Account es una técnica del MITRE ATT&CK bajo el grupo attack-pattern, que describe cómo los atacantes pueden exfiltrar datos transferiendo información a otra cuenta de nube que controlan, dentro del mismo proveedor. Esta acción puede incluir la sincronización de archivos, la creación de respaldos o el uso de APIs existentes para mover datos entre entornos cloud.
La técnica está relacionada con la táctica T1537 del MITRE ATT&CK, que aborda actividades de exfiltración de datos por medio de canales no convencionales. Los atacantes aprovechan herramientas y procedimientos ya disponibles en las nubes para ocultar su actividad bajo la camuflaje de operaciones legítimas.
Como Funciona
Los adversarios utilizan APIs de proveedores de nube para transferir datos a una cuenta secundaria que controlan. Este proceso puede incluir:
- Sincronización de archivos: Copiando datos entre cuentas mediante herramientas nativas de la nube.
- Creación de respaldos: Generando copias de seguridad que luego se eliminan o transfieren a otra cuenta.
- Transferencias no detectables: Utilizando canales de comunicación internos para evitar alertas en monitoreo tradicional.
La técnica aprovecha la infraestructura y políticas de seguridad de la nube, lo que permite a los atacantes mover datos sin desencadenar alertas basadas en transferencias "externas" típicas.
Actores que la Utilizan
No hay información sobre actores específicos asociados a esta técnica. La descripción no menciona organizaciones, grupos o amenazas particulares que la implementen. Es una táctica generalizada de exfiltración de datos.
Deteccion
Los defensores deben monitorear transfers internas dentro del mismo proveedor de nube, especialmente aquellos que no siguen patrones normales. Se recomienda:
- Revisar llamados a APIs: Buscar activos no autorizados que accedan a recursos de almacenamiento o sincronización.
- Analisar patrones de respaldo: Identificar actividades anómalas en la creación o eliminación de copias de seguridad.
- Verificar accesos no delegados: Asegurar que las cuentas de nube tengan permisos limitados y no estén comparten con otras cuentas no autorizadas.
Indicadores de Compromiso (IOCs)
No hay Indicadores de Compromiso publicos disponibles.
Mitigacion
Para mitigar el riesgo asociado a esta técnica, se recomiendan las siguientes medidas:
- Auditoría periódica: Verificar permisos de cuentas y configuraciones de nube.
- Restricción de accesos: Limitar el uso de API y herramientas de sincronización a usuarios con necesidad específica.
- Aumento de monitoreo: Implementar alertas basadas en comportamiento anómalo dentro del mismo proveedor de nube.
- Autenticación de dos factores (2FA): Asegurar que todas las cuentas de nube estén protegidas con MFA.