GUI-vil

También rastreado como p0-LUCR-1

GUI-vil, también rastreado como p0-LUCR-1, es un grupo con motivación económica procedente de Indonesia, rastreado por Permiso. Usa claves de AWS expuestas para obtener acceso mediante la herramienta S3 Browser y la consola de administración de AWS. Su objetivo es ejecutar instancias EC2 para el cryptomining.

Técnicas cloud

• Recopila claves de acceso de AWS expuestas en GitHub y Pastebin
• Valida las claves robadas y opera a través de la consola de administración de AWS
• Crea usuarios de IAM y perfiles de inicio de sesión para pasar desapercibido y mantener la persistencia
• Adjunta políticas de IAM en línea que conceden privilegios completos de administrador
• Lee buckets de S3 y archivos tfstate para encontrar credenciales de administrador
• Ejecuta instancias EC2 grandes para criptominería en varias regiones

Técnicas de MITRE ATT&CK

Referencias

• Unmasking GUI-vil: Financially Motivated Cloud Threat Actor