EC2 Grouper est un acteur malveillant prolifique connu pour exploiter les AWS Tools for PowerShell afin de mener des attaques automatisées dans des environnements cloud. Il utilise généralement l'API CreateSecurityGroup pour établir un accès distant et présente une convention de nommage cohérente pour ses groupes de sécurité. L'acquisition d'identifiants proviendrait de clés d'accès cloud compromises, souvent récupérées dans des dépôts de code publics. Fait notable, ses activités n'incluent pas d'appels à AuthorizeSecurityGroupIngress, ce qui suggère une approche sélective de l'escalade.
Références
Métadonnées de l'acteur importées depuis Malpedia (Fraunhofer FKIE).