Motivé par l'argent

Storm-0501

Storm-0501 est un groupe de rançongiciel à motivation financière suivi par Microsoft qui s'est étendu aux attaques de cloud hybride. Il pivote de l'Active Directory sur site vers Microsoft Entra ID et construit un domaine fédéré dérobé. Il exfiltre ensuite des données et déploie le rançongiciel Embargo ou conserve un accès cloud persistant.

Techniques cloud

Compromet les comptes Entra Connect Sync pour atteindre le tenant cloud
Réinitialise les mots de passe cloud de comptes hybrides synchronisés avec AADInternals
Effectue du password spraying pour trouver des comptes cloud et admin valides
Ajoute un domaine fédéré malveillant pour forger des jetons SAML
Utilise des jetons forgés pour usurper n'importe quel utilisateur et contourner la MFA

Techniques MITRE ATT&CK

T1078.004 T1110.003 T1484.002 T1606.002 T1556.007

Références

Prévenez ces techniques dans vos comptes AWS

Pathbreak valide lesquelles de ces techniques aboutissent face à votre autorisation AWS réelle et vous donne le changement qui brise chaque chemin, afin qu'un attaquant ne puisse pas l'enchaîner.

Demander un scan gratuit Parcourir la carte des attaques