Con motivación económica

SCARLETEEL

SCARLETEEL es una operación cloud con motivación financiera, rastreada por Sysdig, que vulnera cuentas de AWS a través de contenedores y servicios de cómputo vulnerables. Roba credenciales y escala a administrador en la cuenta. Ejecuta criptomineros y también roba datos propietarios.

Técnicas cloud

Roba credenciales de IMDSv1 e IMDSv2 en contenedores comprometidos
Encuentra claves de AWS en el sistema de archivos y dentro de contenedores Docker
Usa Pacu y la AWS CLI para encontrar rutas de escalada de privilegios
Escala a AdministratorAccess aprovechando políticas IAM débiles
Crea nuevos usuarios de IAM y claves de acceso para mantener la persistencia
Levanta instancias EC2 para minar Monero

Técnicas de MITRE ATT&CK

T1078.004 T1552.005 T1552.001 T1098.001 T1136.003 T1496

Referencias

Prevén estas técnicas en tus cuentas de AWS

Pathbreak valida cuáles de estas técnicas se resuelven frente a tu autorización real de AWS y te da el cambio que rompe cada ruta, de modo que un atacante no pueda encadenarla.

Solicitar un escaneo gratuito Explora el mapa de ataque