Scattered Spider

UNC3944, Octo Tempest, Muddled Libra, 0ktapus, Scatter Swine, Storm-0875, LUCR-3으로도 추적됨

Scattered Spider는 대기업을 침해하기 위해 공격적인 사회공학, 헬프데스크 사칭, SIM 스와핑으로 알려진 금전적 동기의 그룹입니다. 클라우드에서는 탈취한 자격과 페더레이션을 악용하여 AWS와 Azure 테넌트를 장악합니다. 이후 데이터를 탈취하고 종종 금전 갈취를 위해 랜섬웨어를 배포합니다.

클라우드 공격 수법

• 헬프데스크 비싱과 MFA 피로 공격을 사용하여 클라우드 자격을 탈취합니다
• 계정 접근을 유지하기 위해 공격자의 MFA 토큰과 디바이스를 등록합니다
• 지속성을 위해 피해자 SSO 테넌트에 페더레이션 자격 증명 공급자를 추가합니다
• aws_consoler로 임시 페더레이션 AWS 자격 증명을 생성하여 콘솔로 전환합니다
• 접근 후 자기 자신에게 높은 권한의 IAM 및 Azure 역할을 할당합니다
• 협박에 앞서 공격자가 제어하는 S3 버킷과 MEGA로 데이터를 유출합니다

MITRE ATT&CK 기법

참고 자료

• MITRE ATT&CK: Scattered Spider (G1015)
• FBI and CISA: #StopRansomware Scattered Spider (AA23-320A)
• Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction
• UNC3944 Targets SaaS Applications