クラウド脅威アクター

Scattered Spider

UNC3944, Octo Tempest, Muddled Libra, 0ktapus

Scattered Spider は金銭目的のグループで、大企業に侵入するための積極的なソーシャルエンジニアリング、ヘルプデスクへのなりすまし、SIM スワップで知られています。クラウドでは盗んだ ID とフェデレーションを悪用して AWS や Azure のテナントを乗っ取ります。その後データを盗み、恐喝のためにランサムウェアを展開することもよくあります。

APT29

Cozy Bear, Midnight Blizzard, Nobelium, The Dukes

APT29 は、SVR と関連するロシアの国家支援スパイ活動グループで、SolarWinds 侵害の実行主体です。Microsoft 365 と Azure に対するクラウドおよびアイデンティティ攻撃を得意とします。トークンを偽造し、OAuth アプリケーションやサービスプリンシパルを悪用して、標的のメールを読み取ります。

LAPSUS$

DEV-0537, Strawberry Tempest

LAPSUS$ は恐喝を目的としたグループで、ソーシャルエンジニアリング、SIM スワッピング、内部関係者の勧誘を用いてテクノロジー企業や通信企業に侵入しました。侵入後はクラウド管理者アクセスを悪用してソースコードやデータを盗み出しました。場合によっては、被害者に圧力をかけるためにクラウドリソースを破壊しました。

TeamTNT

Adept Libra

TeamTNT は、2019 年以降クラウドおよびコンテナ環境を標的にしてきた金銭目的のグループです。侵害した Linux ホストやコンテナから AWS の認証情報を収集します。その後、被害環境全体に大規模な暗号通貨マイナーを展開します。

SCARLETEEL

SCARLETEEL は Sysdig が追跡している金銭目的のクラウド攻撃活動であり、脆弱なコンテナやコンピューティングサービスを通じて AWS アカウントに侵入します。認証情報を盗み、アカウント内で管理者権限まで昇格します。暗号通貨マイナーを実行し、独自データも盗みます。

GUI-vil

p0-LUCR-1

GUI-vil は p0-LUCR-1 としても追跡されており、Permiso が追跡するインドネシア拠点の金銭目的のグループです。漏えいした AWS キーを使い、S3 Browser ツールと AWS Management Console を通じてアクセスを獲得します。その目的は、クリプトマイニングのために EC2 インスタンスを実行することです。

AMBERSQUID

AMBERSQUID は、Sysdig が追跡しているクラウドネイティブなクリプトジャッキング活動で、あまり一般的でない AWS サービスを悪用して暗号資産をマイニングします。Amplify、CodeBuild、CloudFormation、SageMaker、ECS Fargate、EC2 Auto Scaling を通じてマイナーを実行します。複数のサービスに分散させることで、EC2 の大量利用が引き起こすクォータ承認を回避します。

EleKtra-Leak

EleKtra-Leak は、Unit 42 が追跡している自動化されたクラウドクリプトジャッキングキャンペーンで、公開された GitHub リポジトリをスキャンして漏えいした AWS IAM キーを探します。キーがコミットされてから数分以内に、複数のリージョンにわたって EC2 インスタンスを作成します。そのインスタンスは被害者の負担で Monero をマイニングします。

Storm-0558

Antique Typhoon

Storm-0558 は、現在 Microsoft が Antique Typhoon として追跡している中国を拠点とするスパイ活動グループです。2023 年には、入手した Microsoft の署名鍵を使って認証トークンを偽造しました。偽造したトークンを使い、Outlook Web Access を通じて約 25 の組織のメールを読み取りました。

Storm-0501

Storm-0501 は、Microsoft が追跡する金銭目的のランサムウェアグループで、ハイブリッドクラウド攻撃へと活動を広げています。オンプレミスの Active Directory から Microsoft Entra ID へと侵入し、バックドアとなるフェデレーションドメインを構築します。その後、データを窃取し、Embargo ランサムウェアを展開するか、クラウドへの永続的なアクセスを維持します。