EleKtra-Leak

EleKtra-Leak は、Unit 42 が追跡している自動化されたクラウドクリプトジャッキングキャンペーンで、公開された GitHub リポジトリをスキャンして漏えいした AWS IAM キーを探します。キーがコミットされてから数分以内に、複数のリージョンにわたって EC2 インスタンスを作成します。そのインスタンスは被害者の負担で Monero をマイニングします。

クラウドでの手口

• 公開された GitHub リポジトリで漏えいした AWS IAM アクセスキーを収集します
• 盗んだ長期アクセスキーを使って、クラウドへの初期アクセスを行います
• AWS アカウントを列挙し、AWS の検疫ポリシー下にあるキーを回避します
• 複数のリージョンにわたって多数の大型 EC2 インスタンスを作成します
• プロビジョニングしたインスタンスで Monero のマイナーを実行します

MITRE ATT&CK テクニック

参考資料

• CloudKeys in the Air: Tracking Malicious Operations of Exposed IAM Keys (EleKtra-Leak)