被黑的 AWS 账户 - 我如何 access/delete 关联他们创建的账户？

Question

由于有人错误地提供了管理员级别的访问密钥，我们的 AWS 帐户遭到黑客攻击。

我们没有设置组织，但攻击者创建了一个。然后他们在组织内创建了关联帐户并在其中创建了 EC2 实例。

我遇到的问题是我看不到任何方法：

1. 删除关联账户（提示我需要为关联账户添加支付方式）
2. 查看或终止其他账户上的 EC2 实例

有人可以告诉我是否可以使用我的 root 登录来访问链接帐户上的 EC2 实例吗？不幸的是，这在过去几个小时里让我们损失了很多钱。我有 AWS 的支持案例，但他们提到可能需要 2-3 个工作日...

我已通过 IAM 禁用用户并使密钥处于非活动状态。

提前致谢。

Answer 1

当您在组织中创建 AWS 账户时，您设置了一个角色，该组织账户可以使用该角色来承担对该账户的访问权限。如果您可以看到这些帐户使用的是什么角色，请使用该角色并假设可以访问它并记下您需要的内容。

为了更好地理解它的概念，您可以尝试创建自己的组织帐户并担任该角色。

只要黑客没有对该角色做任何事情，这就应该有效。

以下是有关如何执行此操作的文档： https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_accounts_access.html

Answer 2

根据评论。

由于 OP 已经联系了支持人员，所以要做的一件事就是从主帐户访问受感染的帐户并禁用实例。 AWS 文档中解释了执行此操作的过程：

• After I use AWS Organizations to create a member account, how do I access that account?