Scarleteel 威胁组的新威胁能力

重点内容

• Scarleteel 目前具备新型高级能力，能够针对 AWS Fargate 进行攻击。
• 该组持续发动针对云环境的攻击，包括 AWS 和 Kubernetes。
• Scarleteel 通过加密货币挖矿和盗窃知识产权获得经济收益。
• 攻击者使用被盗 AWS 凭证和渗透测试工具展开攻击。
• AWS Fargate 的无服务器计算模型带来了新的安全挑战。

Scarleteel，一个于 2 月首次被报道的威胁组，现已具备许多新的高级能力，能够针对容器自动化工具 AWS Fargate，同时开展 DDoS-as-
a-Service 运动。

在 7 月 11 日的一则中，Sysdig威胁研究团队指出，Scarleteel 仍然持续攻击云中的目标，包括 AWS及
环境。该组织旨在利用开放的计算服务和脆弱的应用程序，并持续关注通过加密货币挖矿和盗取知识产权来获得经济利益。

研究人员还发现 Scarleteel 曾使用 AWS 客户端连接与亚马逊 S3 协议兼容的俄罗斯系统。

除了窃取 AWS 凭证，研究人员还表示，Scarleteel 实施了其他攻击，包括针对 Kubernetes 环境的攻击。例如，他们利用
Kubernetes 渗透测试工具 进一步利用
Kubernetes 环境。

该威胁参与者还下载并执行了与 Mirai 僵尸网络相关的恶意软件 Pandora，该恶意软件主要针对连接到互联网的物联网设备，自 2016年以来对许多大规模 DDoS 攻击负责。研究人员将 Pandora 攻击与 DDoS-as-a-Service 运动联系在一起，攻击者为此提供 DDoS能力以牟利。

根据 Netenrich 的首席威胁猎手 John Bambenek 的解释，AWS 目前将 Fargate提供为一种基于云的无服务器计算产品，允许组织在不启动完整虚拟机的情况下执行任务。Bambenek指出，不幸的是，无服务器应用程序从定义上就没有终端防御，这使得如何妥善保障其安全开启了一个全新的领域。

“一个简单但代价高昂的攻击方式是破坏云账户的凭证，启动资源进行加密货币挖矿，”Bambenek 表示。“由于攻击者无需支付账单，这种攻击是 100%
有利可图的。”

Vulcan Cyber 的高级技术工程师 Mike Parkin 表示，虽然安全专家应该对 Fargate的安全性有更高的期望，但威胁参与者的工具和技术正在不断改进。

“这意味着他们通常能够找到绕过新安全措施的方法，”Parkin 表示。他补充道：“在这种情况下，攻击者利用现有的 AWS功能进行‘就地生存’，并滥用本来合法的渗透测试工具来进一步实现他们的目标。值得注意的是，攻击者显然使用了一个支持 AWS协议的俄罗斯服务器来掩盖他们的活动。另一个重点是他们使用被盗账户，这进一步强调了需要更强身份验证的必要性。”

威胁组 | 攻击手段 | 目标
—|—|—
Scarleteel | 窃取 AWS 凭证、利用 Kubernetes 渗透测试工具 | 云环境、物联网设备

相关链接：