LAPSUS$

DEV-0537, Strawberry Tempest로도 추적됨

LAPSUS$는 기술 및 통신 기업을 침해하기 위해 사회 공학, SIM 스와핑, 내부자 포섭에 의존한 협박 중심 그룹입니다. 일단 내부에 들어가면 클라우드 관리자 접근 권한을 악용하여 소스 코드와 데이터를 탈취했습니다. 일부 경우에는 피해자를 압박하기 위해 클라우드 리소스를 파괴했습니다.

클라우드 공격 수법

• 침해된 자격 증명과 세션 토큰을 사용하여 클라우드 테넌트에 접근합니다
• 전역 관리자 계정을 생성하고 지속성을 위해 관리자 클라우드 역할을 추가합니다
• 피해자가 승인하기를 기대하며 MFA 프롬프트를 대량으로 보냅니다
• Okta와 Azure AD 신뢰를 악용하여 대상 조직에 도달합니다
• 침입 과정에서 클라우드 가상 머신을 생성하고 삭제합니다

MITRE ATT&CK 기법

참고 자료

• MITRE ATT&CK: LAPSUS$ (G1004)
• DEV-0537 criminal actor targeting organizations for data exfiltration and destruction
• Review of the Attacks Associated with LAPSUS$ and Related Threat Groups