0xNews - AWS와 쿠퍼네티스 사용자를 대상으로 하는 크립토재킹 캠페인 발견

Sysdig 발표

SCARLETEEL 로 명명

AWS Amazon Web Services Fargate를 대상으로 하는 지능형 공격 캠페인

클라우드 환경 대상으로 사용자와 조직, 기업의 사용이 증가하면서 공격자 역시 클라우드 환경을 대상으로 하는 공격 수행

사용되는 도구와 기술은 점점 발견하는 중이고 C2 Command and Control 아키텍처와 함께 새로운 보안 조치를 우회하도록 조정

SCARLETEEL 은 2023년 2월 처음 발견

AWS 인프라에서 독점 데이터를 탈취하거나 손상된 시스템 자원을 불법적으로 이익을 얻기 위해 암호화폐 채굴기를 배포하는 정교한 공격 체인을 실행

이번 캠페인은 취약한 공개 웹 애플리케이션을 악용하여 지속성을 확보

지적 재산을 탈취하거나 잠재적으로 암호화 마이너를 사용하여 하루 최소 4,000달러 수익을 창출하는 것

이를 위해 캠페인 수행자는 AWS계정을 추적하여 탈취 시도

공격자는 AWS 정책에서의 실수를 발견하여 악용 중

AdministratorAccess에 대한 권한 상승을 시도하여 계정에 대한 제어권을 획득

이후 공격자가 원하는데로 할 수 있도록 함

쿠퍼네티스 Kubernetes 클러스터에 배포된 JupyterLab NoteBook 컨테이너를 악용

초기에 거점을 활용하여 대상 네트워크에 대한 정보 획득

AWS 자격 증명을 수집하여 피해자의 환경에 대해 더 깊이 분석하는 것에서 부터 시작

이후 AWS CLI 도구와 후속 공격을 위한 Pacu 라는 공격 프레임워크 설치

공격은 AWS 자격 증명을 검색하기 위해 다양한 쉘 스크립트를 사용

이중 일부는 AWS Fargate 컴퓨팅 엔진 인스턴스를 대상으로 함

Pacu 공격 프레임워크 관련 정보 링크

공격자는 AWS 클라이언트를 사용하여 S3 프로토콜과 호환되는 러시아 시스템에 연결하는 것을 확인

다른 일부 조치 중 일부는 Peirates 로 알려진 쿠퍼네티스 침투 테스트 도구를 사용하여 컨테이너 오케스트레이션 시스템을 악용

Pandora 라는 DDoS 봇넷 맬웨어를 사용하여 감염된 호스트에서 수익을 창출하려는 공격자의 추가 시도를 확인

SCARLETEEL 공격 캠페인은 AWS와 쿠퍼네티스를 포함한 클라우드의 표적에 대해 계속해서 공격을 수행

우선 공격 대상은 개방형 컴퓨팅 서비스와 취약한 애플리케이션을 이용하는 곳

암호화폐 채굴을 통한 금전적 이득에 계속 초점을 맞추고 있지만 지적 재산 탈취 또한 우선 순위로 두고 있음

openLab