클라우드 위협 행위자

Scattered Spider

UNC3944, Octo Tempest, Muddled Libra, 0ktapus

Scattered Spider는 대기업을 침해하기 위해 공격적인 사회공학, 헬프데스크 사칭, SIM 스와핑으로 알려진 금전적 동기의 그룹입니다. 클라우드에서는 탈취한 자격과 페더레이션을 악용하여 AWS와 Azure 테넌트를 장악합니다. 이후 데이터를 탈취하고 종종 금전 갈취를 위해 랜섬웨어를 배포합니다.

APT29

Cozy Bear, Midnight Blizzard, Nobelium, The Dukes

APT29는 SVR과 연계되어 있으며 SolarWinds 침해의 배후로 지목되는 러시아 국가 지원 첩보 그룹입니다. Microsoft 365와 Azure를 겨냥한 클라우드 및 신원 공격을 전문으로 합니다. 토큰을 위조하고 OAuth 애플리케이션과 서비스 주체를 악용하여 표적 이메일을 읽습니다.

LAPSUS$

DEV-0537, Strawberry Tempest

LAPSUS$는 기술 및 통신 기업을 침해하기 위해 사회 공학, SIM 스와핑, 내부자 포섭에 의존한 협박 중심 그룹입니다. 일단 내부에 들어가면 클라우드 관리자 접근 권한을 악용하여 소스 코드와 데이터를 탈취했습니다. 일부 경우에는 피해자를 압박하기 위해 클라우드 리소스를 파괴했습니다.

TeamTNT

Adept Libra

TeamTNT는 2019년부터 클라우드 및 컨테이너 환경을 표적으로 삼아 온 금전적 동기의 그룹입니다. 침해된 Linux 호스트와 컨테이너에서 AWS 자격 증명을 수집합니다. 이후 피해 환경 전반에 걸쳐 대규모로 암호화폐 채굴기를 배포합니다.

SCARLETEEL

SCARLETEEL은 Sysdig가 추적하는 금전적 동기의 클라우드 공격 작전으로, 취약한 컨테이너와 컴퓨팅 서비스를 통해 AWS 계정을 침해합니다. 자격 증명을 탈취하고 계정 내에서 관리자 권한으로 상승합니다. 암호화폐 채굴기를 실행하며 독점 데이터도 탈취합니다.

GUI-vil

p0-LUCR-1

GUI-vil은 p0-LUCR-1로도 추적되는, Permiso가 추적하는 인도네시아 기반의 금전적 동기를 가진 그룹입니다. 노출된 AWS 키를 사용해 S3 Browser 도구와 AWS Management Console을 통해 접근 권한을 획득합니다. 목표는 크립토마이닝을 위한 EC2 인스턴스 실행입니다.

AMBERSQUID

AMBERSQUID는 Sysdig가 추적하는 클라우드 네이티브 크립토재킹 작전으로, 암호화폐를 채굴하기 위해 덜 일반적인 AWS 서비스를 악용합니다. Amplify, CodeBuild, CloudFormation, SageMaker, ECS Fargate, EC2 Auto Scaling을 통해 채굴기를 실행합니다. 여러 서비스에 분산함으로써 EC2 스팸이 유발할 할당량 승인을 피합니다.

EleKtra-Leak

EleKtra-Leak는 Unit 42가 추적하는 자동화된 클라우드 크립토재킹 캠페인으로, 공개 GitHub 리포지토리에서 노출된 AWS IAM 키를 스캔합니다. 키가 커밋된 지 몇 분 안에 여러 리전에 걸쳐 EC2 인스턴스를 생성합니다. 그런 다음 이 인스턴스들은 피해자의 비용으로 Monero를 채굴합니다.

Storm-0558

Antique Typhoon

Storm-0558은 현재 Microsoft가 Antique Typhoon으로 추적하는 중국 기반 스파이 그룹입니다. 2023년에 입수한 Microsoft 서명 키를 사용하여 인증 토큰을 위조했습니다. 위조된 토큰을 사용하여 Outlook Web Access를 통해 약 25개 조직의 이메일을 읽었습니다.

Storm-0501

Storm-0501은 Microsoft가 추적하는 금전적 동기의 랜섬웨어 그룹으로, 하이브리드 클라우드 공격으로 활동 범위를 확장했습니다. 온프레미스 Active Directory에서 Microsoft Entra ID로 피벗하여 백도어 페더레이션 도메인을 구축합니다. 이후 데이터를 유출하고 Embargo 랜섬웨어를 배포하거나 지속적인 클라우드 접근을 유지합니다.