Scattered Spider

Également suivi sous les noms UNC3944, Octo Tempest, Muddled Libra, 0ktapus, Scatter Swine, Storm-0875, LUCR-3

Scattered Spider est un groupe à motivation financière connu pour une ingénierie sociale agressive, l'usurpation du support technique et le SIM swapping afin de compromettre de grandes entreprises. Dans le cloud, il abuse d'identités volées et de la fédération pour prendre le contrôle de tenants AWS et Azure. Il vole ensuite des données et déploie souvent un rançongiciel à des fins d'extorsion.

Techniques cloud

• Utilise le vishing du support technique et la fatigue MFA pour prendre le contrôle d'identités cloud
• Enregistre des jetons et appareils MFA de l'attaquant pour conserver l'accès au compte
• Ajoute un fournisseur d'identité fédéré au locataire SSO de la victime pour la persistance
• Crée des identifiants AWS fédérés temporaires avec aws_consoler pour pivoter vers la console
• S'attribue des rôles IAM et Azure à privilèges élevés après l'accès
• Exfiltre des données vers des buckets S3 contrôlés par l'attaquant et MEGA avant l'extorsion

Techniques MITRE ATT&CK

Références

• MITRE ATT&CK: Scattered Spider (G1015)
• FBI and CISA: #StopRansomware Scattered Spider (AA23-320A)
• Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction
• UNC3944 Targets SaaS Applications