Actores de amenazas cloud

Scattered Spider

UNC3944, Octo Tempest, Muddled Libra, 0ktapus

Scattered Spider es un grupo con motivación financiera conocido por su ingeniería social agresiva, la suplantación del servicio de asistencia y el SIM swapping para vulnerar grandes empresas. En el cloud abusa de identidades robadas y de la federación para tomar el control de tenants de AWS y Azure. Después roba datos y a menudo despliega ransomware para extorsionar.

APT29

Cozy Bear, Midnight Blizzard, Nobelium, The Dukes

APT29 es un grupo de espionaje patrocinado por el Estado ruso, vinculado al SVR y responsable de las intrusiones de SolarWinds. Se especializa en ataques a la nube y a la identidad contra Microsoft 365 y Azure. Falsifica tokens y abusa de aplicaciones OAuth y de entidades de servicio para leer el correo de sus objetivos.

LAPSUS$

DEV-0537, Strawberry Tempest

LAPSUS$ es un grupo centrado en la extorsión que recurrió a la ingeniería social, el SIM swapping y el reclutamiento de personal interno para vulnerar empresas tecnológicas y de telecomunicaciones. Una vez dentro, abusó del acceso de administrador cloud para robar código fuente y datos. En algunos casos destruyó recursos cloud para presionar a las víctimas.

TeamTNT

Adept Libra

TeamTNT es un grupo con motivación económica que ataca entornos cloud y de contenedores desde 2019. Recopila credenciales de AWS de hosts Linux y contenedores comprometidos. Después despliega mineros de criptomonedas a gran escala en todo el entorno de la víctima.

SCARLETEEL

SCARLETEEL es una operación cloud con motivación financiera, rastreada por Sysdig, que vulnera cuentas de AWS a través de contenedores y servicios de cómputo vulnerables. Roba credenciales y escala a administrador en la cuenta. Ejecuta criptomineros y también roba datos propietarios.

GUI-vil

p0-LUCR-1

GUI-vil, también rastreado como p0-LUCR-1, es un grupo con motivación económica procedente de Indonesia, rastreado por Permiso. Usa claves de AWS expuestas para obtener acceso mediante la herramienta S3 Browser y la consola de administración de AWS. Su objetivo es ejecutar instancias EC2 para el cryptomining.

AMBERSQUID

AMBERSQUID es una operación de cryptojacking nativa de la nube rastreada por Sysdig que abusa de servicios de AWS poco habituales para minar criptomonedas. Ejecuta mineros a través de Amplify, CodeBuild, CloudFormation, SageMaker, ECS Fargate y EC2 Auto Scaling. Repartirse entre servicios le ayuda a evitar las aprobaciones de cuota que dispararía el spam de EC2.

EleKtra-Leak

EleKtra-Leak es una campaña automatizada de cryptojacking en la nube, rastreada por Unit 42, que escanea repositorios públicos de GitHub en busca de claves IAM de AWS expuestas. A los pocos minutos de que se confirme una clave, crea instancias EC2 en varias regiones. Después, esas instancias minan Monero a costa de la víctima.

Storm-0558

Antique Typhoon

Storm-0558, ahora rastreado por Microsoft como Antique Typhoon, es un grupo de espionaje con base en China. En 2023 falsificó tokens de autenticación usando una clave de firma de Microsoft que había obtenido. Usó los tokens falsificados para leer el correo de unas 25 organizaciones a través de Outlook Web Access.

Storm-0501

Storm-0501 es un grupo de ransomware con motivación financiera, rastreado por Microsoft, que se ha expandido a los ataques cloud híbridos. Pivota desde el Active Directory local hacia Microsoft Entra ID y construye un dominio federado como puerta trasera. Después exfiltra datos y despliega el ransomware Embargo o mantiene un acceso persistente al cloud.