0xNews - AWS 대상 암호화폐 채굴 캠페인 실행 공격자 적발

Permiso 발표

인도네이사 출신 공격자 그룹이 AWS Amazon Web Services EC2 Elastic Compute Cloud 인스턴스를 활용

불법 암호화 채굴 작업을 수행하는 것을 확인

2021년 11월 이 공격 그룹은 처음 탐지

클라우드 보안 회사 Permiso P0 Labs 는 이 그룹의 이름을 GUI-Vil 로 명명

이 그룹은 GUI Graphical User Interface 도구, 특히 S3 브라우저 v.9.5.5 초기 작업에 선호하는 것으로 확인

AWS 콘솔 접속 권한을 얻으려면 웹 브라우저를 통해 직접 작업을 수행

GUI-vil 에 의해 탑재된 공격 체인은 GitHub에 공개된 노출된 소스 코드 저장소에서 AWS키를 무기화하거나 원격 코드 실행 취약점 CVE-2021-22205 에 취약한 GitLab 인스턴스를 스캔 후 초기 접속 권한 획득

수신에 성공하면 권한 상승과 내부 정찰로 이어져 사용 가능한 모든 S3 버킷을 검토

AWS 웹 콘솔을 통해 접속할 수 있는 서비스를 결정

공격자의 작업 방식에서 주목할 측면은 동일한 명명 규칙을 준수

궁극적으로 목표를 달성하는 새로운 사용자를 생성하여 피해자 환경 내에서 지속하기 위한 시도

GUI-vil 은 생성 중인 새 ID에 대한 접속키도 생성

신규 사용자와 함께 S3 Browser 를 계속 사용할 수 있음

또는 이 그룹은 위험 신호를 발생하지 않고 AWS 콘솔에 접속할 수 있도록 로그인 프로필이 없는 기존 사용자를 위해 로그인 프로필을 생성하는 것도 발견

GUI-vil이 인도네시아 활동을 확인한 것은 관련된 소스 IP 주소가 동남아시아 국가에 위치한 두개의 ASN Autonomous System Number 에 연결되어 있다는 것을 확인

이 그룹은 금전적인 이익을 추진하고 있는 주요 임무는 EC2 인스턴스를 생성

암호화폐 채굴 활동을 용이하게 하는 것

대부분의 경우 암호화폐 채굴로 얻은 이익은 피해자 조직이 EC2 인스턴스를 실행하기 위해 지불해야 하는 비용의 일부에 불과함

openLab