بدافع مالي

GUI-vil

تُتعقّب أيضاً باسم p0-LUCR-1

GUI-vil، التي تُتعقّب أيضاً باسم p0-LUCR-1، مجموعة ذات دافع مالي من إندونيسيا تتعقبها Permiso. تستخدم مفاتيح AWS المكشوفة للوصول عبر أداة S3 Browser وAWS Management Console. وهدفها تشغيل مثيلات EC2 للتعدين الخفي.

أساليب العمل في السحابة

يحصد مفاتيح وصول AWS المكشوفة من GitHub وPastebin
يتحقق من المفاتيح المسروقة ويعمل عبر AWS Management Console
ينشئ مستخدمي IAM وملفات تعريف تسجيل الدخول للاندماج والاستمرار
تُرفق سياسات IAM مضمّنة تمنح امتيازات المسؤول الكاملة
يقرأ دلاء S3 وملفات tfstate للعثور على بيانات اعتماد المسؤول
يشغّل مثيلات EC2 كبيرة للتعدين المشفّر عبر المناطق

تقنيات MITRE ATT&CK

T1078.004 T1136.003 T1098.001 T1098.003 T1530 T1496

المراجع

Unmasking GUI-vil: Financially Motivated Cloud Threat Actor

امنع هذه الأساليب في حسابات AWS لديك

يتحقق Pathbreak من أيٍّ من هذه الأساليب يصلح فعلاً مقابل صلاحياتك الحقيقية في AWS، ويمنحك التغيير الذي يكسر كل مسار، بحيث لا يستطيع المهاجم تسلسله.

اطلب فحصاً مجانياً تصفّح خريطة الهجوم