Cloud-Bedrohungsakteure

Cloud-Bedrohungsakteure

Zusammengestellt von Pathbreak Research · Aktualisiert Oktober 2026

Die Cloud-Bedrohungsakteure, die Verteidiger kennen sollten: die Methoden, die sie einsetzen, und die MITRE ATT&CK Techniken dahinter, aus öffentlichen Incident-Berichten. Einige operieren in AWS, andere in Azure, Entra ID oder Microsoft 365. Kuratiert von Pathbreak Research.

Finanziell

Scattered Spider

UNC3944, Octo Tempest, Muddled Libra, 0ktapus

Scattered Spider ist eine finanziell motivierte Gruppe, die für aggressives Social Engineering, das Vortäuschen von Helpdesk-Identitäten und SIM-Swapping bekannt ist, um in große Unternehmen einzudringen. In der Cloud missbraucht sie gestohlene Identitäten und Föderation, um AWS- und Azure-Tenants zu übernehmen. Anschließend stiehlt sie Daten und setzt zur Erpressung häufig Ransomware ein.

Spionage

APT29

Cozy Bear, Midnight Blizzard, Nobelium, The Dukes

APT29 ist eine staatlich geförderte russische Spionagegruppe, die mit dem SVR in Verbindung steht und für die SolarWinds-Einbrüche verantwortlich ist. Sie ist auf Cloud- und Identitätsangriffe gegen Microsoft 365 und Azure spezialisiert. Sie fälscht Tokens und missbraucht OAuth-Anwendungen und Service Principals, um gezielt E-Mails zu lesen.

Finanziell

LAPSUS$

DEV-0537, Strawberry Tempest

LAPSUS$ ist eine auf Erpressung ausgerichtete Gruppe, die sich auf Social Engineering, SIM-Swapping und die Anwerbung von Insidern stützte, um Technologie- und Telekommunikationsunternehmen zu kompromittieren. Einmal drinnen missbrauchte sie Cloud-Admin-Zugriff, um Quellcode und Daten zu stehlen. In einigen Fällen zerstörte sie Cloud-Ressourcen, um Opfer unter Druck zu setzen.

Finanziell

TeamTNT

Adept Libra

TeamTNT ist eine finanziell motivierte Gruppe, die seit 2019 Cloud- und Container-Umgebungen ins Visier nimmt. Sie sammelt AWS-Anmeldeinformationen von kompromittierten Linux-Hosts und Containern. Anschließend setzt sie in großem Umfang Kryptowährungs-Miner in der Umgebung des Opfers ein.

Finanziell

SCARLETEEL

SCARLETEEL ist eine finanziell motivierte Cloud-Operation, die von Sysdig verfolgt wird und über verwundbare Container und Compute-Dienste in AWS-Konten eindringt. Sie stiehlt Anmeldeinformationen und eskaliert im Konto zum Administrator. Sie betreibt Cryptominer und stiehlt außerdem proprietäre Daten.

Finanziell

GUI-vil

p0-LUCR-1

GUI-vil, auch als p0-LUCR-1 verfolgt, ist eine finanziell motivierte Gruppe aus Indonesien, die von Permiso verfolgt wird. Sie nutzt offengelegte AWS-Schlüssel, um über das Tool S3 Browser und die AWS Management Console Zugriff zu erlangen. Ihr Ziel ist der Betrieb von EC2-Instanzen für Cryptomining.

Finanziell

AMBERSQUID

AMBERSQUID ist eine cloud-native Cryptojacking-Operation, die von Sysdig verfolgt wird und weniger verbreitete AWS-Dienste missbraucht, um Kryptowährung zu schürfen. Sie betreibt Miner über Amplify, CodeBuild, CloudFormation, SageMaker, ECS Fargate und EC2 Auto Scaling. Die Verteilung über Dienste hinweg hilft ihr, die Kontingentfreigaben zu vermeiden, die EC2-Spam auslösen würde.

Finanziell

EleKtra-Leak

EleKtra-Leak ist eine automatisierte Cloud-Cryptojacking-Kampagne, die von Unit 42 verfolgt wird und öffentliche GitHub-Repositorys nach offengelegten AWS-IAM-Schlüsseln durchsucht. Innerhalb von Minuten nach dem Commit eines Schlüssels erstellt sie EC2-Instanzen über mehrere Regionen hinweg. Die Instanzen schürfen dann Monero auf Kosten des Opfers.

Spionage

Storm-0558

Antique Typhoon

Storm-0558, das Microsoft inzwischen als Antique Typhoon verfolgt, ist eine in China ansässige Spionagegruppe. 2023 fälschte sie Authentifizierungstoken mithilfe eines erbeuteten Microsoft-Signaturschlüssels. Mit den gefälschten Tokens las sie über Outlook Web Access E-Mails von etwa 25 Organisationen.

Finanziell

Storm-0501

Storm-0501 ist eine finanziell motivierte Ransomware-Gruppe, die von Microsoft verfolgt wird und sich auf hybride Cloud-Angriffe ausgeweitet hat. Sie bewegt sich von On-Premises-Active-Directory zu Microsoft Entra ID und baut eine föderierte Backdoor-Domain auf. Anschließend exfiltriert sie Daten und setzt Embargo-Ransomware ein oder behält dauerhaften Cloud-Zugriff.

Sehen Sie, welche ihrer Techniken in Ihrem Konto auflösen

Pathbreak validiert, welche AWS-Angriffspfade für Ihre Identitäten tatsächlich existieren, und stuft die wenigen Änderungen ein, die am meisten unterbrechen. Ein Konto, ein schreibgeschützter Scan, erste validierte Pfade innerhalb einer Stunde.

Kostenlosen Scan anfragen Die Angriffskarte durchsuchen

Fragen

Woher stammen diese Bedrohungsakteur-Daten?

Pathbreak Research stellt es aus öffentlicher Vorfallsberichterstattung und Threat Intelligence zusammen, darunter MITRE ATT&CK, CISA-Advisories und Herstellerforschung von Mandiant, Microsoft, Unit 42, Sysdig, Permiso und anderen. Jeder Akteur verlinkt auf seine Quellen.

Zielen all diese Akteure gezielt auf AWS ab?

Nein. Einige operieren hauptsächlich in AWS, etwa TeamTNT, SCARLETEEL, GUI-vil, AMBERSQUID und EleKtra-Leak. Andere operieren vorwiegend in Azure, Entra ID oder Microsoft 365, etwa APT29, Storm-0558 und Storm-0501. Jede Zusammenfassung gibt an, wo der Akteur dokumentiert aktiv ist. Wir schreiben einem Akteur einen bestimmten AWS-API-Aufruf nur zu, wenn öffentliche Berichterstattung dies dokumentiert.

Für wen ist das?

Verteidiger, die Threat Models erstellen, Detection-Engineers und Red Teams, die ihre AWS-Härtung darin verankern wollen, wie reale Akteure vorgehen, statt in der Theorie.