SCARLETEEL

SCARLETEEL は Sysdig が追跡している金銭目的のクラウド攻撃活動であり、脆弱なコンテナやコンピューティングサービスを通じて AWS アカウントに侵入します。認証情報を盗み、アカウント内で管理者権限まで昇格します。暗号通貨マイナーを実行し、独自データも盗みます。

クラウドでの手口

• 侵害されたコンテナ上の IMDSv1 と IMDSv2 から認証情報を盗みます
• ファイルシステムや Docker コンテナ内の AWS キーを探し出します
• Pacu と AWS CLI を使って権限昇格の経路を見つけます
• 脆弱な IAM ポリシーを悪用して AdministratorAccess に昇格します
• 永続化のために新しい IAM ユーザーとアクセスキーを作成します
• EC2 インスタンスを起動して Monero をマイニングします

MITRE ATT&CK テクニック

参考資料

• SCARLETEEL: Operation leveraging Terraform, Kubernetes, and AWS for data theft
• SCARLETEEL 2.0: Fargate, Kubernetes, and Crypto