Une campagne de minage à grande échelle exploite des identifiants compromis pour détourner des ressources AWS et lancer du minage illicit. Les opérations, détectées début novembre 2025, combinent découverte automatisée, déploiement massif sur ECS/EC2 et techniques de persistance conçues pour résister à l’éradication. Ce texte décortique les tactiques observées, les signaux d’alerte et les mesures concrètes pour la protection des comptes et la sécurité cloud.
Campagne de minage sur AWS : comment des IAM compromis permettent le piratage
L’attaque démarre après l’obtention d’IAM valides disposant de privilèges proches de l’administrateur. L’acteur malveillant réalise d’abord une phase de reconnaissance, en testant des quotas et permissions via les API avec le flag DryRun, ce qui permet de valider des droits sans lancer de ressources payantes ni laisser de trace évidente.
En quelques minutes seulement, l’opérateur crée des rôles IAM, des clusters ECS et des groupes d’autoscaling, puis enregistre des TaskDefinitions pointant vers une image Docker malveillante qui déclenche un mineur utilisant l’algorithme RandomVIREL. Le résultat : des centaines d’instances GPU et ML détournées pour du minage cryptomonnaies.
Insight clé : la combinaison désactivation d’API de terminaison et d’autoscaling massif transforme une brèche d’authentification en exploitation prolongée des ressources AWS.
Persistance inédite et méthodes qui compliquent la réponse
Les attaquants ont eu recours à l’action ModifyInstanceAttribute en activant disableApiTermination=True, empêchant la suppression simple des instances via console ou API. Cette astuce force des étapes manuelles supplémentaires pour restaurer l’état initial et ralentit l’incident response.
Parallèlement, la création de fonctions Lambda invocables par tout principal et l’attachement de la politique AmazonSESFullAccess à un utilisateur nommé de type user-x1x2x3x4 ouvrent la porte à des campagnes de phishing depuis l’infrastructure compromise, élargissant l’impact du piratage au-delà du minage.
Insight clé : la persistance vise à neutraliser les réponses automatisées et à prolonger l’extraction de valeur, rendant la détection proactive essentielle.
Signes révélateurs d’une campagne de minage sur vos ressources AWS
Les équipes opérationnelles doivent surveiller des indicateurs précis : pics CPU soutenus, création en masse de clusters ECS, usages soudains d’instances GPU/ML, et appels API atypiques comme RunInstances DryRun ou RegisterTaskDefinition vers des images externes.
Un exemple concret : la société fictive NomadHash a vu apparaître plus de 50 clusters ECS en l’espace d’une heure, avec des définitions de tâches pointant vers un hub Docker externe. La surveillance a permis d’identifier l’origine des identifiants compromis et d’atténuer la fuite de coûts.
- Surveiller les appels API DryRun et les créations massives de clusters.
- Détecter les pics d’allocation CPU/Mémoire sur ECS et EC2.
- Identifier les images container téléchargées depuis des registres publics.
- Vérifier les politiques IAM récemment attachées et les rôles auto-créés.
- Contrôler les modifications de disableApiTermination sur les instances.
Pour aller plus loin sur les stratégies de défense adaptées au minage, consultez des ressources pratiques sur stratégies de protection, qui détaillent la sécurisation des environnements de minage.
Insight clé : la détection rapide repose sur des règles comportementales plutôt que sur la seule signature des malwares.
Checklist technique pour la protection des comptes et la prévention du minage illicit
Voici une liste d’actions opérationnelles à appliquer immédiatement pour renforcer la posture de sécurité et limiter l’impact d’identifiants compromis.
- Activer MFA pour tous les comptes et fonctions à privilèges ; cela réduit significativement le risque d’utilisation non autorisée des clés.
- Favoriser les identifiants temporaires (STS) au lieu des clefs à long terme et appliquer une rotation automatisée des clefs.
- Appliquer le principe de moindre privilège : segmenter les rôles et limiter l’accès aux API critiques comme RunInstances et ModifyInstanceAttribute.
- Activer CloudTrail et GuardDuty pour historiser les événements et automatiser les réponses aux anomalies.
- Scanner les images conteneurs et interdire les images non signées/externes dans les TaskDefinitions ECS.
- Émettre des alertes sur les quotas inhabituels (scaling >20, création >50 clusters en heure) et sur les instances GPU/ML provisionnées subitement.
- Auditer les politiques SES et restreindre AmazonSESFullAccess aux seuls besoins métiers pour éviter l’abus pour phishing.
Plus de conseils pratiques et de guidances sur la sécurisation du minage se trouvent dans ce guide protection minage, utile aux opérateurs et administrateurs cloud.
Insight clé : une routine de sécurisation simple mais rigoureuse coupe l’essentiel des vecteurs utilisés pour le piratage et le détournement de ressources AWS détournées.
Contre-mesures prioritaires : automatisation, surveillance et isolement
L’automatisation des réponses permet de limiter la fenêtre d’exploitation. Par exemple, bloquer automatiquement des clés lors d’appels API suspects, ou isoler des instances dont l’attribut disableApiTermination a été modifié, accélère la remédiation.
La séparation des environnements (prod / dev / mining) et l’utilisation de comptes dédiés pour les charges de minage préviennent la propagation latérale en cas de compromission.
Insight clé : combiner isolation des comptes et réponses automatiques réduit fortement le coût financier et opérationnel d’une campagne de minage réussie.
| Technique d’attaque | Symptômes observables | Mesures recommandées |
|---|---|---|
| Utilisation de IAM compromis | Appels API hors heures ouvrables, créations de rôles | Rotation de clés, MFA obligatoire, segmentation des rôles |
| DryRun pour tester permissions | Appels RunInstances avec DryRun=true | Alertes CloudTrail sur DryRun, blocage des patterns inconnus |
| Images Docker malveillantes | TaskDefinition pointant vers registres publics | Politique d’admission d’images, scans réguliers |
| Modification disableApiTermination | Instances protégées contre la suppression | Surveillance des ModifyInstanceAttribute, automatiser réversion |
Ressource pratique supplémentaire : pour des tactiques concrètes de protection autour du minage, se référer au dossier sur protection du minage Bitcoin et aux retours d’expérience d’opérateurs.
Enfin, documenter chaque incident avec une chronologie des actions et des IPs observées aide à prévenir les récurrences et à mieux former les équipes.
Insight clé : la combinaison de surveillance comportementale, d’automatisation et de bonnes pratiques IAM constitue le rempart le plus efficace contre les campagnes de campagne de minage alimentées par des identifiants compromis.
Pour un plan d’action détaillé et des retours d’expérience opérationnels, consulter aussi ce bonnes pratiques de sécurisation et ce guide protection minage afin d’adapter les recommandations au contexte métier.