Finanziell motiviert

AMBERSQUID

AMBERSQUID, dargestellt als Tintenfisch

AMBERSQUID ist eine cloud-native Cryptojacking-Operation, die von Sysdig verfolgt wird und weniger verbreitete AWS-Dienste missbraucht, um Kryptowährung zu schürfen. Sie betreibt Miner über Amplify, CodeBuild, CloudFormation, SageMaker, ECS Fargate und EC2 Auto Scaling. Die Verteilung über Dienste hinweg hilft ihr, die Kontingentfreigaben zu vermeiden, die EC2-Spam auslösen würde.

Cloud-Tradecraft

  • Nutzt kompromittierte AWS-Anmeldeinformationen, um Cloud-Ressourcen bereitzustellen
  • Erstellt IAM-Rollen und hängt Full-Access-Richtlinien für mehrere Dienste an
  • Führt Miner in Amplify-, CodeBuild- und SageMaker-Build-Jobs aus
  • Stellt Miner-Container auf ECS Fargate über viele Regionen hinweg bereit
  • Startet EC2 Auto Scaling-Gruppen, um Mining-Rechenleistung zu skalieren

MITRE ATT&CK-Techniken

T1078.004T1098.003T1578.002T1496T1610

Referenzen

Verhindern Sie diese Techniken in Ihren AWS-Konten

Pathbreak validiert, welche dieser Techniken gegen Ihre echte AWS-Autorisierung aufgehen, und gibt Ihnen die Änderung, die jeden Pfad unterbricht, damit ein Angreifer ihn nicht verketten kann.

Kostenlosen Scan anfragen Die Angriffskarte durchsuchen