Une campagne d\u2019extorsion \u00e0 grande \u00e9chelle a compromis diverses organisations en exploitant des fichiers de variables d\u2019environnement accessibles au public (.env) contenant des informations d\u2019identification associ\u00e9es aux applications cloud et aux m\u00e9dias sociaux.<\/p>\n
\u00ab Plusieurs erreurs de s\u00e9curit\u00e9 ont \u00e9t\u00e9 constat\u00e9es au cours de cette campagne, notamment les suivantes : exposition de variables d’environnement, utilisation d’identifiants \u00e0 longue dur\u00e9e de vie et absence d’architecture de moindre privil\u00e8ge \u00bb, Palo Alto Networks Unit 42 dit<\/a> dans un rapport de jeudi.<\/p>\n La campagne est connue pour avoir install\u00e9 son infrastructure d’attaque dans les environnements Amazon Web Services (AWS) des organisations infect\u00e9es et les avoir utilis\u00e9s comme rampe de lancement pour analyser plus de 230 millions de cibles uniques \u00e0 la recherche de donn\u00e9es sensibles.<\/p>\n Avec 110 000 domaines cibl\u00e9s, l’activit\u00e9 malveillante aurait captur\u00e9 plus de 90 000 variables uniques dans les fichiers .env, dont 7 000 appartenaient aux services cloud des organisations et 1 500 variables \u00e9taient li\u00e9es aux comptes de m\u00e9dias sociaux.<\/p>\n \u00ab Cette campagne a impliqu\u00e9 des attaquants qui ont r\u00e9ussi \u00e0 r\u00e9cup\u00e9rer des donn\u00e9es h\u00e9berg\u00e9es dans des conteneurs de stockage cloud \u00bb, a d\u00e9clar\u00e9 Unit 42. \u00ab Les attaquants n’ont pas chiffr\u00e9 les donn\u00e9es avant de demander la ran\u00e7on, mais ils ont plut\u00f4t exfiltr\u00e9 les donn\u00e9es et plac\u00e9 la demande de ran\u00e7on dans le conteneur de stockage cloud compromis. \u00bb<\/p>\n L’aspect le plus frappant de ces attaques est qu’elles ne reposent pas sur des vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 ou des erreurs de configuration dans les services des fournisseurs de cloud, mais proviennent plut\u00f4t de l’exposition accidentelle de fichiers .env sur des applications Web non s\u00e9curis\u00e9es pour obtenir un acc\u00e8s initial.<\/p>\n Une violation r\u00e9ussie d’un environnement cloud ouvre la voie \u00e0 des mesures de d\u00e9couverte et de reconnaissance approfondies dans le but d’\u00e9largir leur emprise, les acteurs de la menace utilisant les cl\u00e9s d’acc\u00e8s AWS Identity and Access Management (IAM) pour cr\u00e9er de nouveaux r\u00f4les et \u00e9lever leurs privil\u00e8ges.<\/p>\n Le nouveau r\u00f4le IAM avec des autorisations administratives est ensuite utilis\u00e9 pour cr\u00e9er de nouvelles fonctions AWS Lambda afin de lancer une op\u00e9ration d’analyse automatis\u00e9e \u00e0 l’\u00e9chelle d’Internet contenant des millions de domaines et d’adresses IP.<\/p>\n \u00ab Le script a r\u00e9cup\u00e9r\u00e9 une liste de cibles potentielles \u00e0 partir d’un bucket S3 tiers accessible au public exploit\u00e9 par l’acteur de la menace \u00bb, ont d\u00e9clar\u00e9 les chercheurs de l’Unit\u00e9 42 Margaret Zimmermann, Sean Johnstone, William Gamazo et Nathaniel Quist.<\/p>\n “La liste des cibles potentielles sur lesquelles la fonction lambda malveillante a effectu\u00e9 une it\u00e9ration contenait un enregistrement des domaines victimes. Pour chaque domaine de la liste, le code a ex\u00e9cut\u00e9 une requ\u00eate cURL, ciblant tous les fichiers de variables d’environnement expos\u00e9s dans ce domaine (c’est-\u00e0-dire https:\/\/ Si le domaine cible h\u00e9berge un fichier d’environnement expos\u00e9, les informations d’identification en texte clair contenues dans le fichier sont extraites et stock\u00e9es dans un dossier nouvellement cr\u00e9\u00e9 dans un autre compartiment AWS S3 public contr\u00f4l\u00e9 par un acteur malveillant. Le compartiment a depuis \u00e9t\u00e9 supprim\u00e9 par AWS.<\/p>\n Il a \u00e9t\u00e9 d\u00e9couvert que la campagne d’attaque ciblait sp\u00e9cifiquement les cas o\u00f9 les fichiers .env contiennent des informations d’identification Mailgun, indiquant un effort de la part de l’adversaire pour les exploiter afin d’envoyer des e-mails de phishing \u00e0 partir de domaines l\u00e9gitimes et de contourner les protections de s\u00e9curit\u00e9.<\/p>\n La cha\u00eene d’infection se termine avec l’acteur de la menace qui exfiltre et supprime les donn\u00e9es sensibles du bucket S3 de la victime, et t\u00e9l\u00e9charge une note de ran\u00e7on qui l’invite \u00e0 contacter et \u00e0 payer une ran\u00e7on pour \u00e9viter de vendre les informations sur le dark web.<\/p>\n Les motivations financi\u00e8res de l’attaque sont \u00e9galement \u00e9videntes dans les tentatives infructueuses de l’acteur malveillant de cr\u00e9er de nouvelles ressources Elastic Cloud Compute (EC2) pour l’extraction illicite de cryptomonnaies.<\/p>\n On ne sait pas encore clairement qui se cache derri\u00e8re cette campagne, en partie \u00e0 cause de l’utilisation de VPN et du r\u00e9seau TOR pour dissimuler leur v\u00e9ritable origine, bien que l’Unit\u00e9 42 ait d\u00e9clar\u00e9 avoir d\u00e9tect\u00e9 deux adresses IP g\u00e9olocalis\u00e9es en Ukraine et au Maroc dans le cadre de la fonction lambda et des activit\u00e9s d’exfiltration S3, respectivement.<\/p>\n \u00ab Les attaquants \u00e0 l\u2019origine de cette campagne ont probablement utilis\u00e9 des techniques d\u2019automatisation pouss\u00e9es pour op\u00e9rer avec succ\u00e8s et rapidit\u00e9 \u00bb, ont d\u00e9clar\u00e9 les chercheurs. \u00ab Cela indique que ces groupes d\u2019acteurs malveillants sont \u00e0 la fois comp\u00e9tents et comp\u00e9tents dans les processus et techniques d\u2019architecture cloud avanc\u00e9s. \u00bb<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Des-attaquants-exploitent-les-fichiers-env-publics-pour-pirater-les.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n