AMBERSQUID

AMBERSQUID는 Sysdig가 추적하는 클라우드 네이티브 크립토재킹 작전으로, 암호화폐를 채굴하기 위해 덜 일반적인 AWS 서비스를 악용합니다. Amplify, CodeBuild, CloudFormation, SageMaker, ECS Fargate, EC2 Auto Scaling을 통해 채굴기를 실행합니다. 여러 서비스에 분산함으로써 EC2 스팸이 유발할 할당량 승인을 피합니다.

클라우드 공격 수법

• 침해된 AWS 자격 증명을 사용하여 클라우드 리소스를 프로비저닝합니다
• IAM 역할을 생성하고 여러 서비스에 대한 전체 액세스 정책을 연결합니다
• Amplify, CodeBuild, SageMaker 빌드 작업 내부에서 채굴기를 실행합니다
• 여러 리전에 걸쳐 ECS Fargate에 채굴기 컨테이너를 배포합니다
• 채굴 컴퓨팅을 확장하기 위해 EC2 Auto Scaling 그룹을 시작합니다

MITRE ATT&CK 기법

참고 자료

• AWS's Hidden Threat: AMBERSQUID Cloud-Native Cryptojacking Operation