LAPSUS$

DEV-0537、Strawberry Tempest としても追跡されています

LAPSUS$ は恐喝を目的としたグループで、ソーシャルエンジニアリング、SIM スワッピング、内部関係者の勧誘を用いてテクノロジー企業や通信企業に侵入しました。侵入後はクラウド管理者アクセスを悪用してソースコードやデータを盗み出しました。場合によっては、被害者に圧力をかけるためにクラウドリソースを破壊しました。

クラウドでの手口

• 侵害した認証情報とセッショントークンを使って、クラウドテナントにアクセスします
• 永続化のためにグローバル管理者アカウントを作成し、管理者クラウドロールを追加します
• MFA のプロンプトを大量に送り、被害者がいずれかを承認することを狙います
• Okta と Azure AD の信頼関係を悪用して標的組織に到達します
• 侵入中にクラウド仮想マシンを作成および削除します

MITRE ATT&CK テクニック

参考資料

• MITRE ATT&CK: LAPSUS$ (G1004)
• DEV-0537 criminal actor targeting organizations for data exfiltration and destruction
• Review of the Attacks Associated with LAPSUS$ and Related Threat Groups