Finanziell motiviert

GUI-vil

Auch bekannt als p0-LUCR-1

GUI-vil dargestellt als Elster

GUI-vil, auch als p0-LUCR-1 verfolgt, ist eine finanziell motivierte Gruppe aus Indonesien, die von Permiso verfolgt wird. Sie nutzt offengelegte AWS-Schlüssel, um über das Tool S3 Browser und die AWS Management Console Zugriff zu erlangen. Ihr Ziel ist der Betrieb von EC2-Instanzen für Cryptomining.

Cloud-Tradecraft

  • Sammelt offengelegte AWS-Zugriffsschlüssel von GitHub und Pastebin
  • Validiert gestohlene Schlüssel und operiert über die AWS Management Console
  • Erstellt IAM-Benutzer und Login-Profile, um unauffällig zu bleiben und zu persistieren
  • Hängt Inline-IAM-Richtlinien an, die volle Administratorberechtigungen gewähren
  • Liest S3-Buckets und tfstate-Dateien, um Admin-Anmeldeinformationen zu finden
  • Führt große EC2-Instanzen für Cryptomining über Regionen hinweg aus

MITRE ATT&CK-Techniken

T1078.004T1136.003T1098.001T1098.003T1530T1496

Referenzen

Verhindern Sie diese Techniken in Ihren AWS-Konten

Pathbreak validiert, welche dieser Techniken gegen Ihre echte AWS-Autorisierung aufgehen, und gibt Ihnen die Änderung, die jeden Pfad unterbricht, damit ein Angreifer ihn nicht verketten kann.

Kostenlosen Scan anfragen Die Angriffskarte durchsuchen