Campagne de Cryptominage Exploitant des Identifiants AWS Compromis

Synthèse

Une campagne active de cryptominage cible actuellement les clients Amazon Web Services (AWS). Des acteurs malveillants exploitent des identifiants compromis pour Identity and Access Management (IAM) afin d'obtenir un accès non autorisé aux instances Elastic Compute Cloud (EC2) et Elastic Container Service (ECS). Cela leur permet d'utiliser subrepticement ces ressources pour des opérations de cryptominage, entraînant des pertes financières importantes pour les organisations touchées et des dommages potentiels à leur réputation.

L'Information

L'équipe de sécurité GuardDuty d'AWS a émis un avertissement concernant une campagne en cours qui exploite activement les comptes AWS à des fins de cryptominage. Les principaux détails sont les suivants :

• Cible : La campagne cible spécifiquement les instances EC2 et ECS, des composants essentiels de l'infrastructure de cloud computing d'AWS.
• Vecteur d'attaque : Le principal vecteur d'attaque implique l'utilisation d'identifiants IAM volés ou compromis, donnant aux attaquants un accès légitime aux ressources AWS, selon les rapports de BleepingComputer.
• Échelle : Les acteurs malveillants utiliseraient des identifiants volés pour accéder à l'infrastructure AWS EC2 et en abuser dans plusieurs environnements clients, comme l'a noté Dark Reading.
• Objectif : L'objectif ultime est de déployer et d'exécuter des logiciels de cryptominage, détournant ainsi la puissance de calcul des instances AWS compromises pour générer des cryptomonnaies.
• Détection : AWS GuardDuty est crucial pour identifier ces activités. L'activation et la configuration correcte de GuardDuty sont primordiales pour une détection précoce des menaces.
• Impact : Les organisations sont confrontées à des factures de cloud computing substantielles en raison de la consommation non autorisée de ressources par les cryptomineurs.

Pourquoi C'est Grave

L'impact commercial de cette campagne s'étend au-delà des pertes financières directes.

• Préjudice financier : Le cryptominage non autorisé peut entraîner des coûts de cloud computing exorbitants, dépassant potentiellement la valeur de la cryptomonnaie minée.
• Risque de réputation : Une violation de la sécurité, même pour le cryptominage, peut éroder la confiance des clients et nuire à la réputation d'une organisation.
• Épuisement des ressources : Les opérations de cryptominage consomment des ressources informatiques importantes, ce qui peut avoir un impact sur les performances des applications et services légitimes.
• Implications de Conformité: Selon les données stockées et traitées sur les instances compromises, une violation pourrait déclencher des exigences de conformité réglementaire (par exemple, RGPD, NIS2) et les pénalités associées.
• Mouvement latéral : Les identifiants AWS compromis peuvent être utilisés pour d'autres activités APT, ce qui peut entraîner un accès à des données et des systèmes sensibles.

L'Avis d'Aether

La campagne de cryptominage en cours souligne l'importance cruciale de pratiques de sécurité robustes dans le cloud, en particulier en ce qui concerne l'IAM. Les organisations doivent adopter une approche Zero Trust, en supposant que toutes les identités et tous les appareils sont potentiellement compromis. Une MFA forte, des audits d'identifiants réguliers et une détection proactive des menaces sont essentiels pour atténuer le risque d'accès non autorisé et d'utilisation abusive des ressources dans les environnements cloud. Nous recommandons vivement un examen des politiques IAM et la mise en œuvre de contrôles d'accès plus stricts. Envisagez de déployer une solution SIEM pour agréger et analyser les journaux de sécurité à la recherche d'activités anormales.

Plan d'Action Immédiat

• Examiner les politiques IAM : Auditer et renforcer les politiques IAM, en appliquant le principe du moindre privilège.
• Activer la MFA : Mettre en œuvre l'authentification multi-facteurs (MFA) pour tous les comptes AWS, en particulier ceux dotés de privilèges d'administrateur.
• Surveiller l'utilisation d'AWS : Mettre en œuvre une surveillance continue de l'utilisation des ressources AWS afin de détecter les schémas inhabituels indiquant des activités de cryptominage.
• Activer AWS GuardDuty : S'assurer qu'AWS GuardDuty est activé et correctement configuré pour détecter les activités suspectes.
• Mettre en œuvre la segmentation du réseau : Restreindre le mouvement latéral en appliquant des techniques de microsegmentation.
• Plan de réponse aux incidents : Élaborer et tester un plan de réponse aux incidents spécifiquement pour les incidents de sécurité basés sur le cloud.