GUI-vil

p0-LUCR-1로도 추적됨

GUI-vil은 p0-LUCR-1로도 추적되는, Permiso가 추적하는 인도네시아 기반의 금전적 동기를 가진 그룹입니다. 노출된 AWS 키를 사용해 S3 Browser 도구와 AWS Management Console을 통해 접근 권한을 획득합니다. 목표는 크립토마이닝을 위한 EC2 인스턴스 실행입니다.

클라우드 공격 수법

• GitHub와 Pastebin에서 노출된 AWS 액세스 키를 수집합니다
• 탈취한 키를 검증하고 AWS Management Console을 통해 작업합니다
• IAM 사용자와 로그인 프로파일을 생성하여 눈에 띄지 않게 섞여 들고 지속성을 확보합니다
• 전체 관리자 권한을 부여하는 인라인 IAM 정책을 연결합니다
• S3 버킷과 tfstate 파일을 읽어 관리자 자격 증명을 찾습니다
• 여러 리전에 걸쳐 암호화폐 채굴을 위한 대형 EC2 인스턴스를 실행합니다

MITRE ATT&CK 기법

참고 자료

• Unmasking GUI-vil: Financially Motivated Cloud Threat Actor