LAPSUS$

También rastreado como DEV-0537, Strawberry Tempest

LAPSUS$ es un grupo centrado en la extorsión que recurrió a la ingeniería social, el SIM swapping y el reclutamiento de personal interno para vulnerar empresas tecnológicas y de telecomunicaciones. Una vez dentro, abusó del acceso de administrador cloud para robar código fuente y datos. En algunos casos destruyó recursos cloud para presionar a las víctimas.

Técnicas cloud

• Usa credenciales y tokens de sesión comprometidos para acceder a tenants cloud
• Crea cuentas de administrador global y añade roles de administrador cloud para mantener la persistencia
• Inunda de solicitudes de MFA con la esperanza de que una víctima apruebe alguna
• Abusa de la confianza de Okta y Azure AD para llegar a las organizaciones objetivo
• Crea y elimina máquinas virtuales en la nube durante las intrusiones

Técnicas de MITRE ATT&CK

Referencias

• MITRE ATT&CK: LAPSUS$ (G1004)
• DEV-0537 criminal actor targeting organizations for data exfiltration and destruction
• Review of the Attacks Associated with LAPSUS$ and Related Threat Groups