# Using Modern Malware

El auge de la computación en la nube ha transformado no solo cómo las organizaciones almacenan y procesan su información, sino también cómo los actores maliciosos adaptan sus técnicas para comprometer activos en la nube. Una táctica cada vez más común empleada por el malware moderno es la de buscar y exfiltrar credenciales de servicios en la nube, como AWS. Dado que muchas aplicaciones y servicios dependen de AWS para operaciones críticas, las credenciales almacenadas localmente en las máquinas de los usuarios se convierten en objetivos valiosos.

## <mark style="color:orange;">¿Cómo opera el malware en este contexto?</mark>

El malware diseñado para comprometer activos en la nube a menudo comienza con la exploración de los sistemas locales en busca de archivos específicos que almacenan credenciales de acceso. En el caso de AWS, las credenciales suelen guardarse en:

* <mark style="color:orange;">**Windows**</mark><mark style="color:orange;">:</mark> `C:\Users\[Username]\.aws\credentials`
* <mark style="color:orange;">**Linux**</mark><mark style="color:orange;">:</mark> `/root/.aws/credentials` o `/home/[User]/.aws/credentials`

Una vez localizados, el malware puede exfiltrar estos archivos a un servidor controlado por atacantes. Con estas credenciales en mano, los atacantes pueden tener acceso no autorizado a los recursos de AWS, permitiéndoles realizar una amplia gama de acciones maliciosas, como:

* <mark style="color:orange;">**Exfiltración de datos**</mark><mark style="color:orange;">:</mark> Acceder y descargar datos sensibles almacenados en servicios de AWS como S3 buckets.
* <mark style="color:orange;">**Elevación de privilegios**</mark><mark style="color:orange;">:</mark> Modificar políticas de IAM para obtener mayores privilegios dentro del entorno AWS de la víctima.
* <mark style="color:orange;">**Despliegue de infraestructura maliciosa**</mark><mark style="color:orange;">:</mark> Utilizar la cuenta comprometida para lanzar nuevas instancias de EC2 que podrían usarse para ataques adicionales o para minar criptomonedas.
* <mark style="color:orange;">**Ataques de Denegación de Servicio (DoS)**</mark><mark style="color:orange;">:</mark> Iniciar instancias o servicios que consuman excesivos recursos, generando costos elevados y potencialmente interrumpiendo los servicios legítimos.

## <mark style="color:orange;">Medidas de protección</mark>

Para protegerse contra este tipo de amenazas, las organizaciones deben adoptar varias medidas de seguridad, incluyendo:

* <mark style="color:orange;">**MFA (Autenticación Multifactor)**</mark><mark style="color:orange;">:</mark> Implementar MFA para el acceso a cuentas de AWS, dificultando el uso no autorizado de las credenciales robadas.
* <mark style="color:orange;">**Principio de Menor Privilegio**</mark><mark style="color:orange;">:</mark> Limitar los permisos asociados con cada conjunto de credenciales al mínimo necesario para realizar sus tareas.
* <mark style="color:orange;">**Rotación regular de credenciales**</mark><mark style="color:orange;">:</mark> Cambiar regularmente las claves de acceso y secretos para reducir la ventana de oportunidad en caso de que las credenciales sean comprometidas.
* <mark style="color:orange;">**Monitoreo y alertas**</mark><mark style="color:orange;">:</mark> Utilizar servicios como AWS CloudTrail y Amazon GuardDuty para monitorear el acceso y las actividades sospechosas dentro de los recursos de AWS.
* <mark style="color:orange;">**Educación y concienciación del usuario**</mark><mark style="color:orange;">:</mark> Capacitar a los usuarios sobre la importancia de la seguridad en la nube y cómo pueden evitar ser vectores de ataque.


---

# Agent Instructions: Querying This Documentation

If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter:

```
GET https://books.spartan-cybersec.com/cpna/tecnicas-ofensivas-contra-arquitectos-de-aws/using-modern-malware.md?ask=<question>
```

The question should be specific, self-contained, and written in natural language.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.