SCARLETEEL

SCARLETEEL은 Sysdig가 추적하는 금전적 동기의 클라우드 공격 작전으로, 취약한 컨테이너와 컴퓨팅 서비스를 통해 AWS 계정을 침해합니다. 자격 증명을 탈취하고 계정 내에서 관리자 권한으로 상승합니다. 암호화폐 채굴기를 실행하며 독점 데이터도 탈취합니다.

클라우드 공격 수법

• 침해된 컨테이너에서 IMDSv1과 IMDSv2로부터 자격 증명을 탈취합니다
• 파일 시스템과 Docker 컨테이너 내부에서 AWS 키를 찾습니다
• Pacu와 AWS CLI를 사용하여 권한 상승 경로를 찾습니다
• 취약한 IAM 정책을 악용하여 AdministratorAccess로 권한을 상승시킵니다
• 지속성을 위해 새 IAM 사용자와 액세스 키를 생성합니다
• 모네로를 채굴하기 위해 EC2 인스턴스를 가동합니다

MITRE ATT&CK 기법

참고 자료

• SCARLETEEL: Operation leveraging Terraform, Kubernetes, and AWS for data theft
• SCARLETEEL 2.0: Fargate, Kubernetes, and Crypto