Ataques de cryptojacking de TeamTNT: Entornos Docker en el punto de mira

Según informes recientes de los medios, TeamTNT ataques de cryptojacking están prevaleciendo, siendo el entorno nativo de la nube un objetivo clave. El objetivo subyacente de estos ataques es minar criptomonedas y alquilar los servidores vulnerados a terceros. En este artículo, nos sumergiremos en los detalles de estos ataques y aprenderemos cómo los hackers están utilizando Docker. Comencemos.

Descubrir TeamTNT 

TeamTNT es un grupo de actores de amenazas que ha estado activo desde octubre de 2019. Durante este tiempo, han atacado principalmente entornos en la nube y en contenedores. Tras comprometer estos recursos, el grupo los utiliza para desplegar mineros de criptomonedas en los entornos atacados. 

TeamTNT es relativamente nuevo en comparación con otras amenazas en línea dirigidas a entornos en la nube. En cuanto a las tácticas de ataque, los actores de la amenaza TeamTNT utilizan métodos similares a los de otros grupos. Sin embargo, su presencia en las redes sociales y su aptitud para la autopromoción son un factor diferenciador. 

Aunque se cree que el grupo de hackers tiene su sede en Alemania, las publicaciones en su cuenta de X están tanto en inglés como en alemán. Además, el grupo también está relacionado con el primer gusano de minería de criptomonedas que robó credenciales de AWS y con Hildegard malware de criptojacking . En febrero de 2021 lanzaron una campaña de ataques contra Docker y Kubernetes. 

La campaña de ataque se centraba en el uso de una colección de imágenes de contenedor alojadas en Docker Hub. Estas imágenes de contenedor se dirigían al demonio Docker mal configurado, a Weave Scope y a los paneles de control de Kubeflow con intenciones maliciosas, entre las que se incluyen: 

• Ejecutar ataques de puerta trasera para mantener el acceso persistente.
• Minería de criptomonedas. 
• Robo de credenciales en la nube. 
• Lanzar un gusano para determinar la próxima víctima. 

Recientes Ataques de crypojacking de TeamTNT

Los más recientes ataques de cryptojacking de TeamTNT del actor de la amenaza sirven como testimonio de la capacidad del grupo para mantener la persistencia mientras evolucionan sus técnicas. Durante estos ataques de cryptojacking de TeamTNT los hackers fueron capaces de montar asaltos de varias etapas que comprometen entornos Docker y los alistaron en un enjambre Docker.

Assaf Morag, director de inteligencia de amenazas de Aqua, una empresa de seguridad en la nube, ha proporcionado información sobre estos ataques declarado a que:

"El grupo está apuntando actualmente a daemons Docker expuestos para desplegar el malware Sliver, un gusano cibernético, y criptomineros, utilizando servidores comprometidos y Docker Hub como infraestructura para propagar su malware."

Estas percepciones implican que los hackers del malware de minería de criptomoneda están utilizando tácticas de ataque similares a las que prevalecieron en su iniciativa maliciosa de febrero de 2021. Sin embargo, un aspecto notable de los recientes ataques de cryptojacking de TeamTNT es la diversificación de su estrategia de monetización.

Los informes afirman que el grupo ha estado utilizando Docker Hub para alojar y distribuir las cargas maliciosas. Pero, además de eso, también han ofrecido la potencia de cálculo de los objetivos comprometidos a terceros. Esta potencia de cálculo se utiliza para la minería ilícita de criptomonedas. En relación con el alquiler de la plataforma de minería, Morag declaró lo siguiente: 

"También están alquilando el poder computacional de las víctimas a terceros, ganando dinero de forma efectiva indirectamente de la minería de criptomonedas sin la molestia de gestionarlo ellos mismos."

Descubrimiento inicial del ataque criptojacking a Docker 

Estos ataques de cryptojacking de TeamTNT fueron descubiertos y divulgados inicialmente a principios de octubre por Datadog, un proveedor de servicios de monitorización en la nube. La revelación inicial hizo hincapié en que instancias Docker infectadas.

El objetivo de estas iniciativas maliciosas era alistarlos en un Enjambre Docker. Basándose en estas tácticas, se determinó que la campaña de ataque de cryptojacking a Docker es obra de TeamTNT. 

Antes de entrar en más detalles, conviene señalar que hasta ahora no estaba claro el alcance total de la operación. Los medios de comunicación han citado a expertos que afirman que la infraestructura del ataques de cryptojacking de TeamTNT fue descubierta en su fase inicial.

Tanto el descubrimiento inicial como su revelación son esenciales para desarrollar una estrategia de ciberseguridad que garantice la protección contra este tipo de amenazas. Sin embargo, la revelación puede alarmar al actor de la amenaza, obligándole a cambiar sus tácticas de ataque. 

Detalles del ataque de malware de minería de criptomonedas 

Antes de entrar en los detalles de los ataques, vale la pena señalar que los actuales ataques de cryptojacking de TeamTNT marcan el inicio de la infraestructura de ataque en la nube del grupo. Por ahora, el grupo de hackers está utilizando servidores web comprometidos y registros Docker Hub para diversas iniciativas maliciosas que incluyen:

• Distribución de malware. 
• Despliegue de mineros de criptomonedas.
• Alquiler de potencia de cálculo. 

Componentes de TeamTNT Attacks  

Desde la creación del grupo los ataques de cryptojacking de TeamTNT se han centrado en el uso de cuatro componentes clave que incluyen:

1. Movimientos laterales

Los actores de la amenaza TeamTNT son capaces de realizar movimientos laterales tanto locales como externos para mejorar los métodos de detección e infección. Para ello, durante los ataques de ataques de cryptojacking de TeamTNTutilizan herramientas como Masscan y ZGrab.

1. Secuestro de recursos 

Los más recientes ataques de cryptojacking de TeamTNT se centran en el despliegue del minero de criptomonedas. Hacerlo les permite controlar o adquirir una infraestructura objetivo que luego alquilan a otros, reduciendo los costes operativos del grupo de hackers.

1. Mando y control (C2) 

En esta campaña de ataque, se ha observado que TeamTNT utiliza el malware Sliver. Es posible que éste sirva como sustituto del malware Tsunami utilizado anteriormente. El malware anterior era penetrable por los investigadores, lo que les permitía obtener información, pero no puede decirse lo mismo del malware Sliver.

1. Herramientas en la nube 

El grupo de hackers es conocido por experimentar con herramientas nativas de la nube basadas en software de código abierto (OSS) y herramientas de seguridad ofensivas (OST). Durante los recientes ataques de cryptojacking de TeamTNTel grupo está utilizando

• DockerHub para almacenar y distribuir malware 
• Malware de plata para adquirir el control y la explotación. 

Cadena de ataques de criptojacking TeamTNT

Expertos en ciberseguridad investigan los ataques de cryptojacking de TeamTNT han destacado las técnicas comunes que prevalecen a lo largo de la campaña. Cabe destacar que la cadena de ataque del grupo de ciberdelincuentes se ha dividido en diferentes categorías con una de múltiples acciones. Estas categorías y acciones incluyen:

Conclusión

Los ataques de cryptojacking de TeamTNT en entornos Docker muestran la persistencia del grupo y la evolución de sus técnicas. Al explotar las vulnerabilidades de la infraestructura en la nube, no solo minan criptomoneda, sino que también venden los recursos comprometidos, lo que pone de relieve la necesidad urgente de contar con prácticas de seguridad sólidas para proteger los entornos en contenedores.

Las fuentes de este artículo incluyen artículos en The Hacker News y Aqua.