جهات التهديد السحابية

Scattered Spider

UNC3944, Octo Tempest, Muddled Libra, 0ktapus

Scattered Spider مجموعة ذات دوافع مالية معروفة بالهندسة الاجتماعية العدوانية، وانتحال شخصية مكتب المساعدة، وتبديل بطاقات SIM لاختراق المؤسسات الكبيرة. في السحابة تسيء استخدام الهويات المسروقة والاتحاد للاستيلاء على مستأجري AWS و Azure. ثم تسرق البيانات وكثيراً ما تنشر برامج الفدية للابتزاز.

APT29

Cozy Bear, Midnight Blizzard, Nobelium, The Dukes

APT29 مجموعة تجسّس ترعاها الدولة الروسية ومرتبطة بجهاز SVR ومسؤولة عن اختراقات SolarWinds. تتخصص في هجمات السحابة والهوية ضد Microsoft 365 وAzure. تزوّر الرموز وتسيء استخدام تطبيقات OAuth وجهات الخدمة الأساسية لقراءة البريد المستهدف.

LAPSUS$

DEV-0537, Strawberry Tempest

LAPSUS$ مجموعة تركّز على الابتزاز واعتمدت على الهندسة الاجتماعية، وتبديل شرائح SIM، وتجنيد موظفين من الداخل لاختراق شركات التقنية والاتصالات. وبمجرد دخولها، أساءت استخدام وصول الإدارة السحابية لسرقة الشيفرة المصدرية والبيانات. وفي بعض الحالات دمّرت موارد سحابية للضغط على الضحايا.

TeamTNT

Adept Libra

TeamTNT مجموعة ذات دوافع مالية استهدفت بيئات السحابة والحاويات منذ عام 2019. تحصد بيانات اعتماد AWS من مضيفات Linux والحاويات المخترقة. ثم تنشر مُعدِّني العملات المشفرة على نطاق واسع في بيئة الضحية.

SCARLETEEL

SCARLETEEL عملية سحابية ذات دوافع مالية تتعقبها Sysdig، تخترق حسابات AWS عبر الحاويات وخدمات الحوسبة المعرّضة للثغرات. تسرق بيانات الاعتماد وتصعّد إلى مسؤول في الحساب. تشغّل معدّنين للعملات المشفّرة وتسرق أيضاً بيانات محتكرة.

GUI-vil

p0-LUCR-1

GUI-vil، التي تُتعقّب أيضاً باسم p0-LUCR-1، مجموعة ذات دافع مالي من إندونيسيا تتعقبها Permiso. تستخدم مفاتيح AWS المكشوفة للوصول عبر أداة S3 Browser وAWS Management Console. وهدفها تشغيل مثيلات EC2 للتعدين الخفي.

AMBERSQUID

AMBERSQUID عملية اختطاف تعدين سحابية المنشأ تتعقبها Sysdig وتسيء استخدام خدمات AWS الأقل شيوعاً لتعدين العملات المشفّرة. تشغّل برامج التعدين عبر Amplify وCodeBuild وCloudFormation وSageMaker وECS Fargate وEC2 Auto Scaling. والانتشار عبر الخدمات يساعدها على تجنّب موافقات الحصص التي يثيرها الإفراط في استخدام EC2.

EleKtra-Leak

EleKtra-Leak حملة تعدين خفي سحابية آلية تتعقبها Unit 42 وتفحص مستودعات GitHub العامة بحثاً عن مفاتيح AWS IAM المكشوفة. وفي غضون دقائق من إيداع مفتاح، تنشئ مثيلات EC2 عبر المناطق. ثم تعدّن المثيلات عملة Monero على حساب الضحية.

Storm-0558

Antique Typhoon

Storm-0558، التي تتعقبها Microsoft الآن باسم Antique Typhoon، مجموعة تجسس مقرها الصين. في عام 2023 زوّرت رموز مصادقة باستخدام مفتاح توقيع من Microsoft حصلت عليه. واستخدمت الرموز المزوّرة لقراءة بريد نحو 25 مؤسسة عبر Outlook Web Access.

Storm-0501

Storm-0501 مجموعة برامج فدية ذات دوافع مالية تتعقبها Microsoft وتوسعت إلى هجمات السحابة الهجينة. تنتقل من Active Directory المحلي إلى Microsoft Entra ID وتبني نطاقاً اتحادياً خلفياً. ثم تسرّب البيانات وتنشر برنامج فدية Embargo أو تحافظ على وصول سحابي مستمر.