Une nouvelle campagne en cours baptis\u00e9e EleKtra-Fuite<\/strong> a jet\u00e9 son d\u00e9volu sur les informations d’identification expos\u00e9es de gestion des identit\u00e9s et des acc\u00e8s (IAM) d’Amazon Web Service (AWS) dans les r\u00e9f\u00e9rentiels publics GitHub pour faciliter les activit\u00e9s de cryptojacking.<\/p>\n “En cons\u00e9quence, l’acteur malveillant associ\u00e9 \u00e0 la campagne a pu cr\u00e9er plusieurs instances AWS Elastic Compute (EC2) qu’il a utilis\u00e9es pour des op\u00e9rations de cryptojacking de grande envergure et de longue dur\u00e9e”, ont d\u00e9clar\u00e9 William Gamazo et Palo Alto Networks Unit 42. Nathaniel Quist dit<\/a> dans un rapport technique partag\u00e9 avec The Hacker News.<\/p>\n L’op\u00e9ration, active depuis au moins d\u00e9cembre 2020, est con\u00e7ue pour extraire Monero \u00e0 partir de 474 instances Amazon EC2 uniques entre le 30 ao\u00fbt et le 6 octobre 2023.<\/p>\n Un aspect marquant des attaques est le ciblage automatis\u00e9 des informations d’identification AWS IAM dans les quatre minutes suivant leur exposition initiale sur GitHub, ce qui indique que les acteurs malveillants clonent et analysent par programme les r\u00e9f\u00e9rentiels pour capturer les cl\u00e9s expos\u00e9es.<\/p>\n L’adversaire a \u00e9galement \u00e9t\u00e9 observ\u00e9 en train de bloquer les comptes AWS qui publient les informations d’identification IAM dans ce qui est probablement consid\u00e9r\u00e9 comme un effort pour emp\u00eacher une analyse plus approfondie.<\/p>\n Il existe des preuves sugg\u00e9rant que l’attaquant pourrait \u00e9galement avoir \u00e9t\u00e9 li\u00e9 \u00e0 une autre campagne de cryptojacking. divulgu\u00e9 par Intezer<\/a> en janvier 2021, visant les services Docker mal s\u00e9curis\u00e9s utilisant le m\u00eame logiciel de minage sur mesure.<\/p>\n Une partie du succ\u00e8s de la campagne r\u00e9side dans l’exploitation des angles morts de la fonction d’analyse secr\u00e8te de GitHub et d’AWS. Politique AWSComromisedKeyQuarantine<\/a> pour signaler et emp\u00eacher l’utilisation abusive d’informations d’identification IAM compromises ou expos\u00e9es pour ex\u00e9cuter ou d\u00e9marrer des instances EC2.<\/p>\n Bien que la politique de quarantaine soit appliqu\u00e9e dans les deux minutes suivant l’acc\u00e8s public aux informations d’identification AWS sur GitHub, on soup\u00e7onne que les cl\u00e9s sont expos\u00e9es via une m\u00e9thode encore ind\u00e9termin\u00e9e.<\/p>\n L’unit\u00e9 42 a d\u00e9clar\u00e9 que \u00ab\u00a0l’acteur mena\u00e7ant pourrait \u00eatre en mesure de trouver des cl\u00e9s AWS expos\u00e9es qui ne sont pas automatiquement d\u00e9tect\u00e9es par AWS et de contr\u00f4ler ensuite ces cl\u00e9s en dehors de la politique AWSCompromisedKeyQuarantine\u00a0\u00bb.<\/p>\n Dans les cha\u00eenes d’attaque d\u00e9couvertes par l’entreprise de cybers\u00e9curit\u00e9, les identifiants AWS vol\u00e9s sont utilis\u00e9s pour effectuer une op\u00e9ration de reconnaissance de compte, suivie de la cr\u00e9ation Groupes de s\u00e9curit\u00e9 AWS<\/a> et lancer plusieurs instances EC2 dans diverses r\u00e9gions derri\u00e8re un r\u00e9seau priv\u00e9 virtuel (VPN).<\/p>\n Les op\u00e9rations de cryptomining sont effectu\u00e9es sur des instances AWS c5a.24xlarge en raison de leur puissance de traitement plus \u00e9lev\u00e9e, permettant \u00e0 ses op\u00e9rateurs d’extraire plus de cryptomonnaie dans un laps de temps plus court.<\/p>\n Le logiciel de minage utilis\u00e9 pour effectuer le cryptojacking est extrait d’une URL de Google Drive, mettant en \u00e9vidence un mod\u00e8le d’acteurs malveillants tirant parti de la confiance associ\u00e9e aux applications largement utilis\u00e9es pour passer inaper\u00e7us.<\/p>\n “Le type d’Amazon Machine Images (SUIS-JE<\/a>) l’acteur malveillant utilis\u00e9 \u00e9tait \u00e9galement distinctif”, ont d\u00e9clar\u00e9 les chercheurs. “Les images identifi\u00e9es \u00e9taient priv\u00e9es et elles n’\u00e9taient pas r\u00e9pertori\u00e9es sur AWS Marketplace.”<\/p>\n Pour att\u00e9nuer de telles attaques, il est recommand\u00e9 aux organisations qui exposent accidentellement les informations d’identification AWS IAM de r\u00e9voquer imm\u00e9diatement toutes les connexions API utilisant les cl\u00e9s, de les supprimer du r\u00e9f\u00e9rentiel GitHub et d’auditer GitHub. \u00e9v\u00e9nements de clonage de r\u00e9f\u00e9rentiel<\/a> pour toute op\u00e9ration suspecte.<\/p>\n “L’acteur malveillant peut d\u00e9tecter et lancer une op\u00e9ration mini\u00e8re \u00e0 grande \u00e9chelle dans les cinq minutes suivant l’exposition d’un identifiant AWS IAM dans un r\u00e9f\u00e9rentiel GitHub public”, ont d\u00e9clar\u00e9 les chercheurs. \u00ab\u00a0Malgr\u00e9 le succ\u00e8s des politiques de quarantaine d’AWS, la campagne maintient une fluctuation continue du nombre et de la fr\u00e9quence des comptes de victimes compromis.\u00a0\u00bb<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/10\/Les-attaques-de-cryptojacking-EleKtra-Leak-exploitent-les-informations-didentification-AWS.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n