Motivé par l'argent

AMBERSQUID

AMBERSQUID est une opération de cryptojacking cloud native suivie par Sysdig qui détourne des services AWS moins courants pour miner de la cryptomonnaie. Elle exécute des mineurs via Amplify, CodeBuild, CloudFormation, SageMaker, ECS Fargate et EC2 Auto Scaling. Répartir l'activité sur plusieurs services lui permet d'éviter les approbations de quota que déclencherait le spam d'EC2.

Techniques cloud

Utilise des identifiants AWS compromis pour provisionner des ressources cloud
Crée des rôles IAM et attache des politiques d'accès complet pour plusieurs services
Exécute des mineurs dans les jobs de build Amplify, CodeBuild et SageMaker
Déploie des conteneurs de minage sur ECS Fargate dans de nombreuses régions
Lance des groupes EC2 Auto Scaling pour augmenter la puissance de calcul de minage

Techniques MITRE ATT&CK

T1078.004 T1098.003 T1578.002 T1496 T1610

Références

AWS's Hidden Threat: AMBERSQUID Cloud-Native Cryptojacking Operation

Prévenez ces techniques dans vos comptes AWS

Pathbreak valide lesquelles de ces techniques aboutissent face à votre autorisation AWS réelle et vous donne le changement qui brise chaque chemin, afin qu'un attaquant ne puisse pas l'enchaîner.

Demander un scan gratuit Parcourir la carte des attaques