Scattered Spider

Auch bekannt als UNC3944, Octo Tempest, Muddled Libra, 0ktapus, Scatter Swine, Storm-0875, LUCR-3

Scattered Spider ist eine finanziell motivierte Gruppe, die für aggressives Social Engineering, das Vortäuschen von Helpdesk-Identitäten und SIM-Swapping bekannt ist, um in große Unternehmen einzudringen. In der Cloud missbraucht sie gestohlene Identitäten und Föderation, um AWS- und Azure-Tenants zu übernehmen. Anschließend stiehlt sie Daten und setzt zur Erpressung häufig Ransomware ein.

Cloud-Tradecraft

• Nutzt Helpdesk-Vishing und MFA-Fatigue, um Cloud-Identitäten zu übernehmen
• Registriert MFA-Token und Geräte des Angreifers, um den Kontozugriff zu behalten
• Fügt dem SSO-Tenant des Opfers einen föderierten Identitätsanbieter für Persistenz hinzu
• Erstellt temporäre föderierte AWS-Anmeldeinformationen mit aws_consoler, um zur Konsole zu wechseln
• Weist sich nach dem Zugriff hochprivilegierte IAM- und Azure-Rollen zu
• Exfiltriert Daten in vom Angreifer kontrollierte S3-Buckets und MEGA vor der Erpressung

MITRE ATT&CK-Techniken

Referenzen

• MITRE ATT&CK: Scattered Spider (G1015)
• FBI and CISA: #StopRansomware Scattered Spider (AA23-320A)
• Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction
• UNC3944 Targets SaaS Applications