LAPSUS$

Également suivi sous les noms DEV-0537, Strawberry Tempest

LAPSUS$ est un groupe axé sur l'extorsion qui s'est appuyé sur l'ingénierie sociale, le SIM swapping et le recrutement d'initiés pour pénétrer des entreprises de technologie et de télécommunications. Une fois à l'intérieur, il a abusé d'un accès admin cloud pour voler du code source et des données. Dans certains cas, il a détruit des ressources cloud pour faire pression sur les victimes.

Techniques cloud

• Utilise des identifiants et des jetons de session compromis pour accéder à des tenants cloud
• Crée des comptes d'administrateur global et ajoute des rôles cloud d'administrateur pour la persistance
• Envoie en masse des invites MFA en espérant qu'une victime en approuve une
• Détourne la confiance Okta et Azure AD pour atteindre les organisations ciblées
• Crée et supprime des machines virtuelles cloud lors des intrusions

Techniques MITRE ATT&CK

Références

• MITRE ATT&CK: LAPSUS$ (G1004)
• DEV-0537 criminal actor targeting organizations for data exfiltration and destruction
• Review of the Attacks Associated with LAPSUS$ and Related Threat Groups