PurpleUrchin, una campaña de freejacking centrada en plataformas en la nube que ofrecen pruebas de tiempo limitado de recursos en la nube para realizar sus operaciones de criptominería recopiló más de 250GB de datos para la operación.
Dada su magnitud, la unidad de investigación Unit 42 de Palo Alto Networks, ha publicado una investigación sobre esta campaña, y ha bautizado a este grupo de actores de amenazas en la nube como Automated Libra.
Unit 42 descubrió que los actores de amenazas crearon más de 130.000 cuentas en varias plataformas, como Heroku, Togglebox y GitHub, para llevar a cabo operaciones de minería de criptomonedas.
PurpleUrchin, freejacking
Con GitHub, los actores de la amenaza utilizaron la creación automatizada de cuentas para eludir las imágenes CAPTCHA mediante técnicas sencillas de análisis de imágenes y crear sus cuentas.
Además, la Unit 42 recopiló más de 250GB de datos de contenedores creados para la operación de la campaña y descubrió que los actores de amenazas detrás de esta campaña estaban creando de 3 a 5 cuentas de GitHub cada minuto durante el pico de sus operaciones durante noviembre de 2022.
PurpleUrchin, así es la nueva campaña de freejacking centrada en plataformas en la nube
Por su parte, los actores de la amenaza fueron capaces de llevar a cabo actividades de minería de criptomonedas a través de una táctica llamada freejacking en la que se aprovechan de las plataformas en la nube que ofrecen pruebas por tiempo limitado de recursos en la nube; probablemente crearon cuentas falsas con tarjetas de crédito robadas.
El grupo también robó recursos de varias plataformas de servicios en la nube mediante una táctica que los investigadores de la Unit 42 denominan «Play and Run». Esta táctica consiste en que los actores maliciosos utilizan recursos en la nube y se niegan a pagar por ellos una vez que llega la factura.
Con estas pruebas gratuitas, los actores de la amenaza fueron capaces de sacar el máximo provecho de ellas mediante técnicas de automatización DevOps como la integración continua y entrega continua (CI/CD).
Lograron esto mediante la creación de cuentas de usuario en contenedores en plataformas en la nube y mediante la automatización de sus operaciones de minería de criptomonedas. También automatizaron el proceso de creación de contenedores asegurándose de que las nuevas cuentas que creaban se utilizaban en las operaciones de minería.
