EleKtra-Leak

EleKtra-Leak는 Unit 42가 추적하는 자동화된 클라우드 크립토재킹 캠페인으로, 공개 GitHub 리포지토리에서 노출된 AWS IAM 키를 스캔합니다. 키가 커밋된 지 몇 분 안에 여러 리전에 걸쳐 EC2 인스턴스를 생성합니다. 그런 다음 이 인스턴스들은 피해자의 비용으로 Monero를 채굴합니다.

클라우드 공격 수법

• 공개 GitHub 리포지토리에 노출된 AWS IAM 액세스 키를 수집합니다
• 탈취한 장기 액세스 키를 사용하여 초기 클라우드 접근을 확보합니다
• AWS 계정을 열거하고 AWS 격리 정책이 적용된 키를 회피합니다
• 여러 리전에 걸쳐 대형 EC2 인스턴스를 다수 생성합니다
• 프로비저닝된 인스턴스에서 모네로 채굴기를 실행합니다

MITRE ATT&CK 기법

참고 자료

• CloudKeys in the Air: Tracking Malicious Operations of Exposed IAM Keys (EleKtra-Leak)