Toc toc no servidor

Por volta das 14:30 UTC de 12/03/2024, o GuardDuty (o serviço de detecção de ameaças da AWS) avisou sobre uma transferência incomum de dados para fora e sobre o uso de credenciais IAM (as chaves de acesso à conta da nuvem) a partir da instância EC2 i-0a1b2c3d4e5f6a7b8, de nome interno ip-10-0-1-55.

Às 16:00 UTC a equipe tirou uma imagem forense da máquina e recuperou cinco logs: apache_access.log (servidor web), auth.log (logins e sudo), corp-ftpd.log (o servidor de FTP da empresa), syslog (sistema, kernel e cron) e cloudtrail.json (as chamadas feitas à API da AWS). O atacante tentou apagar rastros antes da coleta, então algumas linhas podem estar incompletas ou corrompidas.

Reconstrua como ele entrou e responda duas coisas:

1. Qual conta dava o contexto da exploração inicial, isto é, com os privilégios de qual usuário do sistema rodava o programa explorado (e, portanto, a primeira shell do atacante).
2. Qual programa foi explorado para ganhar o acesso inicial: o serviço cuja falha deu ao atacante a primeira execução de comandos na máquina.

Use os nomes exatamente como aparecem nos logs. Num relatório no formato CASE{conta|programa}, aqui a barra vira vírgula: envie tocaia{conta,programa}, com a conta primeiro e sem espaço. Por exemplo, tocaia{postgres,pgbouncer} teria esse formato (não é a resposta).