Scattered Spider

UNC3944、Octo Tempest、Muddled Libra、0ktapus、Scatter Swine、Storm-0875、LUCR-3 としても追跡されています

Scattered Spider は金銭目的のグループで、大企業に侵入するための積極的なソーシャルエンジニアリング、ヘルプデスクへのなりすまし、SIM スワップで知られています。クラウドでは盗んだ ID とフェデレーションを悪用して AWS や Azure のテナントを乗っ取ります。その後データを盗み、恐喝のためにランサムウェアを展開することもよくあります。

クラウドでの手口

• ヘルプデスクへのビッシングと MFA 疲労攻撃を使って、クラウド ID を乗っ取ります
• 攻撃者の MFA トークンとデバイスを登録し、アカウントへのアクセスを維持します
• 永続化のため、被害者の SSO テナントにフェデレーション ID プロバイダーを追加します
• aws_consoler を使って一時的なフェデレーション AWS 認証情報を作成し、コンソールへ横展開します
• アクセス後に、自身に高権限の IAM および Azure ロールを割り当てます
• 恐喝の前に、攻撃者が制御する S3 バケットと MEGA にデータを持ち出します

MITRE ATT&CK テクニック

参考資料

• MITRE ATT&CK: Scattered Spider (G1015)
• FBI and CISA: #StopRansomware Scattered Spider (AA23-320A)
• Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction
• UNC3944 Targets SaaS Applications