LAPSUS$

Auch bekannt als DEV-0537, Strawberry Tempest

LAPSUS$ ist eine auf Erpressung ausgerichtete Gruppe, die sich auf Social Engineering, SIM-Swapping und die Anwerbung von Insidern stützte, um Technologie- und Telekommunikationsunternehmen zu kompromittieren. Einmal drinnen missbrauchte sie Cloud-Admin-Zugriff, um Quellcode und Daten zu stehlen. In einigen Fällen zerstörte sie Cloud-Ressourcen, um Opfer unter Druck zu setzen.

Cloud-Tradecraft

• Nutzt kompromittierte Anmeldeinformationen und Session-Tokens, um auf Cloud-Tenants zuzugreifen
• Erstellt Global-Admin-Konten und fügt Admin-Cloud-Rollen für Persistenz hinzu
• Spammt MFA-Aufforderungen in der Hoffnung, dass ein Opfer eine genehmigt
• Missbraucht das Vertrauen von Okta und Azure AD, um Zielorganisationen zu erreichen
• Erstellt und löscht während Einbrüchen virtuelle Cloud-Maschinen

MITRE ATT&CK-Techniken

Referenzen

• MITRE ATT&CK: LAPSUS$ (G1004)
• DEV-0537 criminal actor targeting organizations for data exfiltration and destruction
• Review of the Attacks Associated with LAPSUS$ and Related Threat Groups