🔍 Contexte

Datadog Security Labs a publié le 31 août 2026 un rapport de threat research documentant une campagne de password spraying active entre juillet et août 2026, ciblant spécifiquement les comptes root AWS de plus de 30 organisations.

🎯 Nature de l’attaque

Les attaquants ont effectuĂ© des tentatives d’authentification rĂ©pĂ©tĂ©es et Ă©chouĂ©es contre les comptes root AWS. Les organisations ciblĂ©es ont subi en mĂ©diane deux tentatives chacune, certaines jusqu’Ă  huit tentatives sur la fenĂȘtre temporelle observĂ©e.

Deux Ă©lĂ©ments de fingerprinting permettent d’identifier la campagne :

  • User agents : deux chaĂźnes Chrome et Firefox spĂ©cifiques :
    • Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0
    • Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0
  • Proxies : les requĂȘtes transitent par des proxies (rĂ©sidentiels, hĂ©bergement) couvrant une large plage de pays et d’ASNs, tous signalĂ©s par des sources de threat intelligence.

🏱 Victimologie

Les organisations ciblĂ©es ne prĂ©sentent aucun profil victimologique clair : elles varient largement par pays et secteur d’activitĂ©. La sĂ©lection semble alĂ©atoire.

⚙ MĂ©canisme technique

La gĂ©nĂ©ration d’un appel API ConsoleLogin Ă©chouĂ© nĂ©cessite l’adresse email associĂ©e au compte root. Cela implique que l’attaquant disposait soit d’une liste prĂ©Ă©tablie d’adresses email de comptes root, soit a procĂ©dĂ© par brute force pour identifier des adresses valides. L’Ă©vĂ©nement CloudTrail associĂ© est de type AwsConsoleSignIn, source signin.amazonaws.com, avec responseElements.ConsoleLogin: Failure.

📊 Impact et Ă©tat

Aucune authentification rĂ©ussie n’a Ă©tĂ© observĂ©e. L’intention de l’attaquant ne peut pas ĂȘtre dĂ©terminĂ©e. Depuis juin 2025, AWS IAM impose le MFA pour les utilisateurs root sur tous les types de comptes, avec une pĂ©riode de grĂące de 30 jours.

📄 Type d’article

Il s’agit d’une publication de recherche issue du Security Labs de Datadog, visant Ă  documenter et partager une campagne active avec la communautĂ© CTI, et Ă  fournir des requĂȘtes CloudTrail permettant aux organisations de vĂ©rifier si elles ont Ă©tĂ© ciblĂ©es.

🧠 TTPs et IOCs dĂ©tectĂ©s

TTP

  • T1110.003 — Brute Force: Password Spraying (Credential Access)
  • T1078.004 — Valid Accounts: Cloud Accounts (Initial Access)
  • T1090 — Proxy (Command and Control)

🟡 Indice de vĂ©rification factuelle : 60/100 (moyenne)

  • ✅ securitylabs.datadoghq.com — source reconnue (Rösti community) (20pts)
  • ✅ 7001 chars — texte complet (fulltext extrait) (15pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC Ă  vĂ©rifier (0pts)
  • ✅ 3 TTPs MITRE identifiĂ©es (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommĂ© (0pts)
  • ⬜ pas de CVE Ă  vĂ©rifier (0pts)

🔗 Source originale : https://securitylabs.datadoghq.com/articles/aws-root-user-bruteforce-campaign/