Exposed Training Open the Door for Crypto-Mining in Fortune 500 Cloud Environments

Applications de formation de sécurité compromises dans le cloud

Des applications de formation et de démonstration, conçues pour être intentionnellement vulnérables afin de faciliter l’apprentissage de la sécurité, sont déployées de manière inadéquate dans des environnements cloud d’entreprises. Une recherche a révélé que près de 2 000 instances de ces applications étaient exposées publiquement, souvent sur des infrastructures gérées par les clients (AWS, Azure, GCP), et connectées à des identités cloud disposant de privilèges excessifs.

Cette mauvaise gestion permet aux attaquants d’utiliser ces environnements comme un point d’entrée initial pour accéder à l’ensemble de l’infrastructure cloud. Environ 20 % des applications exposées contenaient déjà des artefacts laissés par des acteurs malveillants, tels que des logiciels de minage de cryptomonnaies, des webshells et des mécanismes de persistance, indiquant une exploitation active. Ces vulnérabilités ont été observées au sein d’organisations du Fortune 500 et de grands fournisseurs de cybersécurité.

Les environnements de formation sont souvent négligés en matière de sécurité, car considérés comme à faible risque ou temporaires, ce qui les rend une cible facile. L’exploitation ne nécessite pas de techniques avancées, les identifiants par défaut et l’exposition publique suffisent.

Points clés :

• Des applications de formation à la sécurité, conçues pour être vulnérables, sont mal déployées dans des environnements cloud.
• Près de 2 000 instances exposées ont été identifiées, dont 60% sur AWS, Azure, et GCP.
• Environ 20% de ces instances montraient des signes d’exploitation active (minage de cryptomonnaies, webshells).
• Ces vulnérabilités affectent des entreprises du Fortune 500 et des fournisseurs de cybersécurité.
• Le manque de surveillance et de gestion du cycle de vie de ces environnements contribue au risque.

Vulnérabilités :

• Exposition publique des applications de formation.
• Déploiement avec des configurations par défaut et une isolation minimale.
• Connexion à des identités cloud avec des rôles trop permissifs.
• Utilisation d’identifiants par défaut et de faiblesses connues.
• Absence de surveillance de sécurité adéquate.

Recommandations :

• Assurer une isolation stricte des environnements de formation et de démonstration.
• Ne pas exposer ces applications à l’internet public.
• Appliquer des contrôles d’accès stricts et des rôles cloud appropriés.
• Intégrer ces environnements dans les processus de surveillance de sécurité et de gestion du cycle de vie.
• Traiter les environnements de formation comme faisant partie de la surface d’attaque effective de l’organisation.

Source