GUI-vil

p0-LUCR-1 としても追跡されています

GUI-vil は p0-LUCR-1 としても追跡されており、Permiso が追跡するインドネシア拠点の金銭目的のグループです。漏えいした AWS キーを使い、S3 Browser ツールと AWS Management Console を通じてアクセスを獲得します。その目的は、クリプトマイニングのために EC2 インスタンスを実行することです。

クラウドでの手口

• GitHub と Pastebin から漏えいした AWS アクセスキーを収集します
• 盗んだキーを検証し、AWS マネジメントコンソールを通じて操作します
• 紛れ込んで永続化するために IAM ユーザーとログインプロファイルを作成します
• 完全な管理者権限を付与するインライン IAM ポリシーをアタッチします
• S3 バケットと tfstate ファイルを読み取り、管理者認証情報を見つけ出します
• 複数リージョンにまたがって、暗号通貨マイニング用の大型 EC2 インスタンスを実行します

MITRE ATT&CK テクニック

参考資料

• Unmasking GUI-vil: Financially Motivated Cloud Threat Actor