Acteurs de menaces cloud

Acteurs de menaces cloud

Sélectionné par Pathbreak Research · Mis à jour en octobre 2026

Les acteurs de menace cloud que les défenseurs devraient connaître : les méthodes qu'ils emploient et les techniques MITRE ATT&CK qui les sous-tendent, d'après des rapports d'incidents publics. Certains opèrent dans AWS, d'autres dans Azure, Entra ID ou Microsoft 365. Sélectionnés par Pathbreak Research.

Financier

Scattered Spider

UNC3944, Octo Tempest, Muddled Libra, 0ktapus

Scattered Spider est un groupe à motivation financière connu pour une ingénierie sociale agressive, l'usurpation du support technique et le SIM swapping afin de compromettre de grandes entreprises. Dans le cloud, il abuse d'identités volées et de la fédération pour prendre le contrôle de tenants AWS et Azure. Il vole ensuite des données et déploie souvent un rançongiciel à des fins d'extorsion.

Espionnage

APT29

Cozy Bear, Midnight Blizzard, Nobelium, The Dukes

APT29 est un groupe d'espionnage parrainé par l'État russe, lié au SVR et responsable des intrusions SolarWinds. Il est spécialisé dans les attaques contre le cloud et les identités visant Microsoft 365 et Azure. Il forge des jetons et détourne des applications OAuth et des principaux de service pour lire des courriels ciblés.

Financier

LAPSUS$

DEV-0537, Strawberry Tempest

LAPSUS$ est un groupe axé sur l'extorsion qui s'est appuyé sur l'ingénierie sociale, le SIM swapping et le recrutement d'initiés pour pénétrer des entreprises de technologie et de télécommunications. Une fois à l'intérieur, il a abusé d'un accès admin cloud pour voler du code source et des données. Dans certains cas, il a détruit des ressources cloud pour faire pression sur les victimes.

Financier

TeamTNT

Adept Libra

TeamTNT est un groupe à motivation financière qui cible les environnements cloud et conteneurisés depuis 2019. Il récolte des identifiants AWS sur des hôtes Linux et des conteneurs compromis. Il déploie ensuite des mineurs de cryptomonnaie à grande échelle dans l'environnement de la victime.

Financier

SCARLETEEL

SCARLETEEL est une opération cloud à motivation financière suivie par Sysdig qui compromet des comptes AWS via des conteneurs et des services de calcul vulnérables. Elle vole des identifiants et s'élève au rang d'administrateur dans le compte. Elle exécute des cryptomineurs et vole aussi des données propriétaires.

Financier

GUI-vil

p0-LUCR-1

GUI-vil, également suivi sous le nom de p0-LUCR-1, est un groupe motivé par l'argent originaire d'Indonésie et suivi par Permiso. Il utilise des clés AWS exposées pour obtenir un accès via l'outil S3 Browser et la console de gestion AWS. Son objectif est d'exécuter des instances EC2 pour le cryptominage.

Financier

AMBERSQUID

AMBERSQUID est une opération de cryptojacking cloud native suivie par Sysdig qui détourne des services AWS moins courants pour miner de la cryptomonnaie. Elle exécute des mineurs via Amplify, CodeBuild, CloudFormation, SageMaker, ECS Fargate et EC2 Auto Scaling. Répartir l'activité sur plusieurs services lui permet d'éviter les approbations de quota que déclencherait le spam d'EC2.

Financier

EleKtra-Leak

EleKtra-Leak est une campagne automatisée de cryptojacking cloud suivie par Unit 42 qui parcourt les dépôts GitHub publics à la recherche de clés IAM AWS exposées. Quelques minutes après qu'une clé est validée, elle crée des instances EC2 dans plusieurs régions. Les instances minent ensuite du Monero aux dépens de la victime.

Espionnage

Storm-0558

Antique Typhoon

Storm-0558, désormais suivi par Microsoft sous le nom d'Antique Typhoon, est un groupe d'espionnage basé en Chine. En 2023, il a forgé des jetons d'authentification à l'aide d'une clé de signature Microsoft acquise. Il a utilisé les jetons forgés pour lire les e-mails d'environ 25 organisations via Outlook Web Access.

Financier

Storm-0501

Storm-0501 est un groupe de rançongiciel à motivation financière suivi par Microsoft qui s'est étendu aux attaques de cloud hybride. Il pivote de l'Active Directory sur site vers Microsoft Entra ID et construit un domaine fédéré dérobé. Il exfiltre ensuite des données et déploie le rançongiciel Embargo ou conserve un accès cloud persistant.

Voyez lesquelles de leurs techniques se concrétisent dans votre compte

Pathbreak valide quels chemins d'attaque AWS existent réellement pour vos identités et classe les rares changements qui coupent le plus. Un compte, une analyse en lecture seule, les premiers chemins validés en moins d'une heure.

Demander un scan gratuit Parcourir la carte des attaques

Questions

D'où proviennent ces données sur les acteurs de menace ?

Pathbreak Research la compile à partir de rapports d'incidents publics et de renseignements sur les menaces, notamment MITRE ATT&CK, les avis de la CISA et les recherches de fournisseurs de Mandiant, Microsoft, Unit 42, Sysdig, Permiso et d'autres. Chaque acteur renvoie à ses sources.

Tous ces acteurs ciblent-ils spécifiquement AWS ?

Non. Certains opèrent principalement dans AWS, comme TeamTNT, SCARLETEEL, GUI-vil, AMBERSQUID et EleKtra-Leak. D'autres opèrent surtout dans Azure, Entra ID ou Microsoft 365, comme APT29, Storm-0558 et Storm-0501. Chaque résumé indique où l'acteur est documenté comme opérant. Nous n'attribuons pas un appel d'API AWS spécifique à un acteur sauf si des rapports publics le documentent.

À qui cela s'adresse-t-il ?

Les défenseurs qui construisent des modèles de menaces, les ingénieurs en détection et les équipes red team qui veulent ancrer le durcissement d'AWS dans le fonctionnement réel des acteurs plutôt que dans la théorie.