SCARLETEEL

SCARLETEEL est une opération cloud à motivation financière suivie par Sysdig qui compromet des comptes AWS via des conteneurs et des services de calcul vulnérables. Elle vole des identifiants et s'élève au rang d'administrateur dans le compte. Elle exécute des cryptomineurs et vole aussi des données propriétaires.

Techniques cloud

• Vole des identifiants depuis IMDSv1 et IMDSv2 sur des conteneurs compromis
• Trouve des clés AWS dans le système de fichiers et à l'intérieur des conteneurs Docker
• Utilise Pacu et l'AWS CLI pour trouver des chemins d'escalade de privilèges
• Élève jusqu'à AdministratorAccess en exploitant des politiques IAM faibles
• Crée de nouveaux utilisateurs IAM et des clés d'accès pour la persistance
• Démarre des instances EC2 pour miner du Monero

Techniques MITRE ATT&CK

Références

• SCARLETEEL: Operation leveraging Terraform, Kubernetes, and AWS for data theft
• SCARLETEEL 2.0: Fargate, Kubernetes, and Crypto