SCARLETEEL

SCARLETEEL ist eine finanziell motivierte Cloud-Operation, die von Sysdig verfolgt wird und über verwundbare Container und Compute-Dienste in AWS-Konten eindringt. Sie stiehlt Anmeldeinformationen und eskaliert im Konto zum Administrator. Sie betreibt Cryptominer und stiehlt außerdem proprietäre Daten.

Cloud-Tradecraft

• Stiehlt Anmeldeinformationen aus IMDSv1 und IMDSv2 auf kompromittierten Containern
• Findet AWS-Schlüssel im Dateisystem und in Docker-Containern
• Nutzt Pacu und die AWS CLI, um Privilege-Escalation-Pfade zu finden
• Eskaliert zu AdministratorAccess durch Ausnutzen schwacher IAM-Richtlinien
• Erstellt neue IAM-Benutzer und Access Keys für Persistenz
• Startet EC2-Instanzen, um Monero zu minen

MITRE ATT&CK-Techniken

Referenzen

• SCARLETEEL: Operation leveraging Terraform, Kubernetes, and AWS for data theft
• SCARLETEEL 2.0: Fargate, Kubernetes, and Crypto