Freejacking, la nueva modalidad en criptominería para robar información en la nube
Los investigadores de Unit 42, el equipo de investigación y análisis en inteligencia de amenazas de Palo Alto Networks, realizaron una inmersión profunda en Automated Libra, un grupo en la nube detrás de la campaña de piratería PurpleUrchin.
Automated Libra
Automated Libra es un grupo de freejacking con sede en Sudáfrica que se enfoca principalmente en plataformas en la nube las cuales ofrecen pruebas de recursos por tiempo limitado para realizar sus operaciones de criptominería.
Freejacking
Freejacking es el proceso de utilizar recursos de la nube gratuitos (o de tiempo limitado) para realizar operaciones de criptominería.
Este grupo creó más de 130 mil cuentas de usuario en varias plataformas, incluidas Heroku, Togglebox y GitHub, para realizar operaciones de criptominería probablemente con cuentas falsas de tarjetas de crédito robadas.
Con GitHub, crearon perfiles automatizados para eludir las imágenes CAPTCHA usando técnicas simples de análisis de imágenes y crear sus cuentas.
PurpleUrchin
Unit 42 recopiló más de 250 GB de datos en contenedores creados para la operación PurpleUrchin y descubrió que los actores de amenazas detrás de esta campaña inventaban de 3 a 5 cuentas de GitHub cada minuto durante el pico de sus operaciones en noviembre de 2022.
Play and Run
El grupo también robó recursos de la nube de varias plataformas de servicios en la nube a través de una táctica que los investigadores de Unit 42 llaman “Play and Run”;. Esta táctica involucra a personas con fines maliciosos que usan recursos de la nube y se niegan a pagar una vez que llega la factura.
DevOps
Los ciber delincuentes aprovecharon al máximo estas pruebas gratuitas, al usar técnicas de automatización de DevOps, como integración continua y desarrollo continuo (CI/CD). Al contener las creaciones de cuentas de usuario en plataformas en la nube y al automatizar sus operaciones de criptominería.
También automatizaron el proceso de creación de contenedores para garantizar que las
nuevas cuentas que crearon se usaran en las operaciones de criptominería.
La información completa del análisis realizado por Unit 42 se puede consultar en: https://unit42.paloaltonetworks.com/purpleurchin-steals-cloud-resources
