AMBERSQUID

AMBERSQUID は、Sysdig が追跡しているクラウドネイティブなクリプトジャッキング活動で、あまり一般的でない AWS サービスを悪用して暗号資産をマイニングします。Amplify、CodeBuild、CloudFormation、SageMaker、ECS Fargate、EC2 Auto Scaling を通じてマイナーを実行します。複数のサービスに分散させることで、EC2 の大量利用が引き起こすクォータ承認を回避します。

クラウドでの手口

• 侵害した AWS の認証情報を使って、クラウドリソースをプロビジョニングします
• 複数のサービス向けに IAM ロールを作成し、フルアクセスポリシーをアタッチします
• Amplify、CodeBuild、SageMaker のビルドジョブ内でマイナーを実行します
• 多数のリージョンにわたり ECS Fargate 上にマイナーコンテナを展開します
• EC2 Auto Scaling グループを起動してマイニング用のコンピュートをスケールさせます

MITRE ATT&CK テクニック

参考資料

• AWS's Hidden Threat: AMBERSQUID Cloud-Native Cryptojacking Operation