Злоумышленник может добавить дополнительные роли или разрешения в контролируемую им облачную учетную запись, чтобы сохранить постоянный доступ к тенанту. Например, злоумышленники могут обновить политики IAM в облачных средах или добавить нового глобального администратора в среде Microsoft 365. При наличии достаточных прав скомпрометированная учетная запись позволяет получить практически неограниченный доступ к данным и настройкам (включая возможность сбросить пароли других администраторов) .

Изменение учетной записи может следовать сразу за созданием учетной записи или другими вредоносными действиями с учетными записями. Злоумышленники также могут изменять существующие учетные записи, подвергшиеся компрометации. Это может привести к повышению привилегий, особенно если добавленные роли позволяют получать доступ к дополнительным учетным записям.

Например, в среде AWS злоумышленник с соответствующими полномочиями может использовать операцию CreatePolicyVersion в AWS S3 API для определения новой версии политики IAM или операцию AttachUserPolicy для назначения скомпрометированной учетной записи пользователя политики IAM с дополнительными или особыми полномочиями.

В некоторых случаях злоумышленники могут добавлять роли к контролируемым ими учетным записям за пределами облачного тенанта жертвы. Это позволяет злоумышленнику выполнять действия внутри тенанта жертвы от имени этих внешних учетных записей без необходимости создавать учетную запись или изменять принадлежащую жертве учетную запись.