Con motivación económica

AMBERSQUID

AMBERSQUID es una operación de cryptojacking nativa de la nube rastreada por Sysdig que abusa de servicios de AWS poco habituales para minar criptomonedas. Ejecuta mineros a través de Amplify, CodeBuild, CloudFormation, SageMaker, ECS Fargate y EC2 Auto Scaling. Repartirse entre servicios le ayuda a evitar las aprobaciones de cuota que dispararía el spam de EC2.

Técnicas cloud

Usa credenciales de AWS comprometidas para aprovisionar recursos cloud
Crea roles de IAM y les asocia políticas de acceso completo para varios servicios
Ejecuta mineros dentro de trabajos de compilación de Amplify, CodeBuild y SageMaker
Despliega contenedores de minería en ECS Fargate en muchas regiones
Lanza grupos de EC2 Auto Scaling para escalar la capacidad de minería

Técnicas de MITRE ATT&CK

T1078.004 T1098.003 T1578.002 T1496 T1610

Referencias

AWS's Hidden Threat: AMBERSQUID Cloud-Native Cryptojacking Operation

Prevén estas técnicas en tus cuentas de AWS

Pathbreak valida cuáles de estas técnicas se resuelven frente a tu autorización real de AWS y te da el cambio que rompe cada ruta, de modo que un atacante no pueda encadenarla.

Solicitar un escaneo gratuito Explora el mapa de ataque