Motivé par l'argent

GUI-vil

Également suivi sous le nom p0-LUCR-1

GUI-vil, également suivi sous le nom de p0-LUCR-1, est un groupe motivé par l'argent originaire d'Indonésie et suivi par Permiso. Il utilise des clés AWS exposées pour obtenir un accès via l'outil S3 Browser et la console de gestion AWS. Son objectif est d'exécuter des instances EC2 pour le cryptominage.

Techniques cloud

Récolte les clés d'accès AWS exposées sur GitHub et Pastebin
Valide des clés volées et opère via la console de gestion AWS
Crée des utilisateurs IAM et des profils de connexion pour se fondre dans la masse et persister
Attache des politiques IAM en ligne accordant des privilèges d'administrateur complets
Lit des buckets S3 et des fichiers tfstate pour trouver des identifiants admin
Exécute de grandes instances EC2 pour le cryptominage à travers les régions

Techniques MITRE ATT&CK

T1078.004 T1136.003 T1098.001 T1098.003 T1530 T1496

Références

Unmasking GUI-vil: Financially Motivated Cloud Threat Actor

Prévenez ces techniques dans vos comptes AWS

Pathbreak valide lesquelles de ces techniques aboutissent face à votre autorisation AWS réelle et vous donne le changement qui brise chaque chemin, afin qu'un attaquant ne puisse pas l'enchaîner.

Demander un scan gratuit Parcourir la carte des attaques