Les acteurs de la menace ciblent les environnements d’Amazon Web Services (AWS) pour pousser les campagnes de phishing vers des cibles sans m\u00e9fiance, selon les r\u00e9sultats de l’unit\u00e9 42 de Palo Alto Networks.<\/p>\n
La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 suit le cluster d’activit\u00e9s sous le nom TGR-UNK-0011<\/strong> (abr\u00e9viation pour un Groupe de menaces avec motivation inconnue<\/a>), qui, selon lui, chevauche un groupe connu sous le nom de Javaghost. TGR-UNK-0011 est connu pour \u00eatre actif depuis 2019.<\/p>\n “Le groupe s’est concentr\u00e9 historiquement sur les sites Web de d\u00e9gradation”, la chercheuse en s\u00e9curit\u00e9 Margaret Kelley dit<\/a>. “En 2022, ils ont pivot\u00e9 pour envoyer des e-mails de phishing \u00e0 des fins financi\u00e8res.”<\/p>\n Il convient de noter que ces attaques n’exploitent aucune vuln\u00e9rabilit\u00e9 dans AWS. Au contraire, les acteurs de la menace profitent des erreurs de configuration dans les environnements des victimes qui exposent leurs cl\u00e9s d’acc\u00e8s AWS afin d’envoyer des messages de phishing en abusant des services de service de messagerie (SES) et de WorkMail.<\/p>\n Ce faisant, le modus operandi offre le b\u00e9n\u00e9fice de ne pas avoir \u00e0 h\u00e9berger ou de payer leur propre infrastructure pour r\u00e9aliser l’activit\u00e9 malveillante.<\/p>\n De plus, il permet aux messages de phishing de l’acteur de menace de contourner les protections par e-mail, car les missives num\u00e9riques proviennent d’une entit\u00e9 connue \u00e0 partir de laquelle l’organisation cible a pr\u00e9c\u00e9demment re\u00e7u des e-mails.<\/p>\n “Javaghost a obtenu des cl\u00e9s d’acc\u00e8s \u00e0 long terme expos\u00e9es associ\u00e9es aux utilisateurs de gestion de l’identit\u00e9 et de l’acc\u00e8s (IAM) qui leur ont permis d’acc\u00e9der initial \u00e0 un environnement AWS via l’interface de ligne de commande (CLI)”, a expliqu\u00e9 Kelley. <\/p>\n “Entre 2022-24, le groupe a \u00e9volu\u00e9 ses tactiques vers des techniques d’\u00e9vasion de d\u00e9fense plus avanc\u00e9 Journaux de cloudtrail<\/a>. Cette tactique a historiquement \u00e9t\u00e9 exploit\u00e9 par une araign\u00e9e dispers\u00e9e<\/a>. “<\/p>\n Une fois l’acc\u00e8s au compte AWS de l’organisation, les attaquants sont connus pour g\u00e9n\u00e9rer des r\u00e9f\u00e9rences temporaires<\/a> et une URL de connexion \u00e0 Autoriser l’acc\u00e8s \u00e0 la console<\/a>. L’unit\u00e9 42 a not\u00e9 que cela leur donne la capacit\u00e9 d’obscurcir leur identit\u00e9 et de gagner une visibilit\u00e9 sur les ressources du compte AWS.<\/p>\n Par la suite, le groupe a \u00e9t\u00e9 observ\u00e9 en utilisant SES et Workmail pour \u00e9tablir l’infrastructure de phishing, cr\u00e9er de nouveaux utilisateurs de SSE et Workmail et de la mise en place de nouvelles informations d’identification SMTP pour envoyer des e-mails.<\/p>\n “Tout au long du d\u00e9lai des attaques, Javaghost cr\u00e9e divers utilisateurs IAM, certains qu’ils utilisent lors de leurs attaques et d’autres qu’ils n’utilisent jamais”, a d\u00e9clar\u00e9 Kelley. “Les utilisateurs IAM inutilis\u00e9s semblent servir de m\u00e9canismes de persistance \u00e0 long terme.”<\/p>\n Un autre aspect notable du modus operandi de l’acteur de menace concerne la cr\u00e9ation d’un nouveau r\u00f4le IAM avec un Politique de confiance jointe<\/a>leur permettant ainsi d’acc\u00e9der au compte AWS de l’organisation \u00e0 partir d’un autre compte AWS sous leur contr\u00f4le.<\/p>\n “Le groupe continue de laisser la m\u00eame carte d’appel au milieu de leur attaque en cr\u00e9ant de nouveaux groupes de s\u00e9curit\u00e9 Amazon Elastic Calcul (EC2) nomm\u00e9 Java_Ghost, avec la description du groupe\u00ab Nous sommes l\u00e0 mais pas visibles \u00bb, a conclu l’unit\u00e9 42.<\/p>\n “Ces groupes de s\u00e9curit\u00e9 ne contiennent aucune r\u00e8gle de s\u00e9curit\u00e9 et le groupe ne tente g\u00e9n\u00e9ralement pas d’attacher ces groupes de s\u00e9curit\u00e9 \u00e0 des ressources. La cr\u00e9ation des groupes de s\u00e9curit\u00e9 appara\u00eet dans les journaux Cloudtrail dans les \u00e9v\u00e9nements CreateSecurityGroup.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Les-pirates-exploitent-AWS-errones-pour-lancer-des-attaques-de.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n