Les acteurs de la menace ciblent les environnements d’Amazon Web Services (AWS) pour pousser les campagnes de phishing vers des cibles sans méfiance, selon les résultats de l’unité 42 de Palo Alto Networks.
La société de cybersécurité suit le cluster d’activités sous le nom TGR-UNK-0011 (abréviation pour un Groupe de menaces avec motivation inconnue), qui, selon lui, chevauche un groupe connu sous le nom de Javaghost. TGR-UNK-0011 est connu pour être actif depuis 2019.
“Le groupe s’est concentré historiquement sur les sites Web de dégradation”, la chercheuse en sécurité Margaret Kelley dit. “En 2022, ils ont pivoté pour envoyer des e-mails de phishing à des fins financières.”
Il convient de noter que ces attaques n’exploitent aucune vulnérabilité dans AWS. Au contraire, les acteurs de la menace profitent des erreurs de configuration dans les environnements des victimes qui exposent leurs clés d’accès AWS afin d’envoyer des messages de phishing en abusant des services de service de messagerie (SES) et de WorkMail.
Ce faisant, le modus operandi offre le bénéfice de ne pas avoir à héberger ou de payer leur propre infrastructure pour réaliser l’activité malveillante.
De plus, il permet aux messages de phishing de l’acteur de menace de contourner les protections par e-mail, car les missives numériques proviennent d’une entité connue à partir de laquelle l’organisation cible a précédemment reçu des e-mails.
“Javaghost a obtenu des clés d’accès à long terme exposées associées aux utilisateurs de gestion de l’identité et de l’accès (IAM) qui leur ont permis d’accéder initial à un environnement AWS via l’interface de ligne de commande (CLI)”, a expliqué Kelley.
“Entre 2022-24, le groupe a évolué ses tactiques vers des techniques d’évasion de défense plus avancé Journaux de cloudtrail. Cette tactique a historiquement été exploité par une araignée dispersée. “
Une fois l’accès au compte AWS de l’organisation, les attaquants sont connus pour générer des références temporaires et une URL de connexion à Autoriser l’accès à la console. L’unité 42 a noté que cela leur donne la capacité d’obscurcir leur identité et de gagner une visibilité sur les ressources du compte AWS.
Par la suite, le groupe a été observé en utilisant SES et Workmail pour établir l’infrastructure de phishing, créer de nouveaux utilisateurs de SSE et Workmail et de la mise en place de nouvelles informations d’identification SMTP pour envoyer des e-mails.
“Tout au long du délai des attaques, Javaghost crée divers utilisateurs IAM, certains qu’ils utilisent lors de leurs attaques et d’autres qu’ils n’utilisent jamais”, a déclaré Kelley. “Les utilisateurs IAM inutilisés semblent servir de mécanismes de persistance à long terme.”
Un autre aspect notable du modus operandi de l’acteur de menace concerne la création d’un nouveau rôle IAM avec un Politique de confiance jointeleur permettant ainsi d’accéder au compte AWS de l’organisation à partir d’un autre compte AWS sous leur contrôle.
“Le groupe continue de laisser la même carte d’appel au milieu de leur attaque en créant de nouveaux groupes de sécurité Amazon Elastic Calcul (EC2) nommé Java_Ghost, avec la description du groupe« Nous sommes là mais pas visibles », a conclu l’unité 42.
“Ces groupes de sécurité ne contiennent aucune règle de sécurité et le groupe ne tente généralement pas d’attacher ces groupes de sécurité à des ressources. La création des groupes de sécurité apparaît dans les journaux Cloudtrail dans les événements CreateSecurityGroup.”