Attaques de cryptojacking de TeamTNT : Environnements Docker ciblés

Accédez directement au résumé généré par l'IA de cet article de blog

Selon les les médias ont récemment rapporté que, les attaques de cryptojacking TeamTNT se répandent, l'environnement "cloud native" étant une cible privilégiée. L'objectif sous-jacent de ces attaques est d'extraire des crypto-monnaies et de louer les serveurs piratés à des tiers. Dans cet article, nous allons nous plonger dans les détails de ces attaques et découvrir comment les pirates utilisent Docker. C'est parti !

Découvrir TeamTNT

TeamTNT est un groupe d'acteurs de la menace actif depuis octobre 2019. Au cours de cette période, ils ont principalement ciblé des environnements cloud et conteneurisés. Après avoir compromis ces ressources, le groupe d'acteurs de la menace les utilise pour déployer des mineurs de crypto-monnaie dans les environnements ciblés.

TeamTNT est relativement nouveau par rapport à d'autres menaces en ligne qui ciblent les environnements en nuage. En ce qui concerne les tactiques d'attaque, les acteurs de TeamTNT utilisent des méthodes similaires à celles d'autres groupes. Toutefois, leur présence sur les médias sociaux et leur aptitude à l'autopromotion constituent un facteur de différenciation.

Bien que l'on pense que ce groupe de hackers soit basé en Allemagne, les publications sur son compte X sont rédigées à la fois en anglais et en allemand. Par ailleurs, ce groupe est également lié au premier ver de crypto-minage à avoir volé des identifiants AWS ainsi qu'à Hildegard malware de cryptojacking . Il a lancé une campagne d'attaques contre Docker et Kubernetes en février 2021.

La campagne d'attaque était centrée sur l'utilisation d'une collection d'images de conteneurs hébergées dans Docker Hub. Ces images de conteneurs ciblaient des démons Docker mal configurés, Weave Scope et des tableaux de bord Kubeflow à des fins malveillantes, notamment :

Exécution d'attaques par porte dérobée pour maintenir un accès permanent.
Extraction de crypto-monnaie.
Vol d'informations d'identification dans le nuage.
Lancement d'un ver pour déterminer la prochaine victime.

Récentes Attaques de cryptojacking de TeamTNT

Les dernières attaques de cryptojacking de attaques de cryptojacking TeamTNT menées par l'acteur de la menace témoignent de la capacité du groupe à persister tout en faisant évoluer ses techniques. Au cours de ces attaques de cryptojacking de attaques de cryptojacking TeamTNT les pirates ont pu monter des assauts en plusieurs étapes qui compromettent les environnements Docker et les enrôlent dans un Docker Swarm.

Pour mieux comprendre ces attaques, Assaf Morag, directeur de la veille sur les menaces chez Aqua, une société spécialisée dans la sécurité informatique, a déclaré déclaré que :

"Le groupe cible actuellement les démons Docker exposés pour déployer le malware Sliver, un cyber ver, et des cryptomineurs, en utilisant des serveurs compromis et Docker Hub comme infrastructure pour diffuser leurs malwares."

Ces informations indiquent que les pirates utilisant des logiciels malveillants de minage de crypto-monnaies utilisent des tactiques d'attaque similaires à celles qui ont prévalu lors de leur initiative malveillante en février 2021. Cependant, un aspect notable des récentes attaques de cryptojacking de attaques de cryptojacking de TeamTNT est la diversification de leur stratégie de monétisation.

Les rapports affirment que le groupe a utilisé Docker Hub pour héberger et distribuer les charges utiles malveillantes. Mais, en plus de cela, ils ont également offert la puissance de calcul des cibles compromises à d'autres tiers. Cette puissance de calcul est ensuite utilisée pour le minage illicite de crypto-monnaies. À propos de la location de la plate-forme de minage, Morag a déclaré ce qui suit :

"Ils louent également la puissance de calcul des victimes à des tiers, gagnant ainsi indirectement de l'argent grâce au cryptomining sans avoir à le gérer eux-mêmes.

Découverte initiale d'une attaque de cryptojacking sur Docker

Ces attaques attaques de cryptojacking TeamTNT ont été initialement découvertes et divulguées au début du mois d'octobre par Datadog, un fournisseur de services de surveillance de l'informatique en nuage. La divulgation initiale soulignait que les serveurs instances Docker infectées étaient visées.

L'objectif de ces initiatives malveillantes était de les enrôler dans un essaim Docker. Sur la base de ces tactiques, il a été déterminé que la campagne d'attaque de cryptojacking Docker est l'œuvre de TeamTNT.

Avant d'entrer dans les détails, il convient de noter que l'ampleur de l'opération n'était pas claire jusqu'à présent. Les médias ont cité des experts affirmant que l'infrastructure des attaques de cryptojacking de TeamTNT cryptojacking attacks a été découverte à un stade précoce.

La découverte initiale et la divulgation sont toutes deux essentielles à l'élaboration d'une stratégie de cybersécurité visant à garantir la protection contre de telles menaces. Cependant, la divulgation peut alarmer l'acteur de la menace et l'obliger à modifier sa tactique d'attaque.

Détails de l'attaque du logiciel malveillant d'extraction de crypto-monnaie

Avant de se plonger dans les détails de ces attaques, il convient de souligner que les attaques de cryptojacking actuelles de attaques de cryptojacking de TeamTNT marquent le début de l'infrastructure d'attaque en nuage du groupe. À l'heure actuelle, le groupe de pirates utilise des serveurs web compromis et des registres Docker Hub pour diverses initiatives malveillantes :

Distribution de logiciels malveillants.
Déploiement de mineurs de crypto-monnaie.
Location de la puissance de calcul.

TeamTNT Attacks Components

Depuis la création du groupe, les attaques de cryptojacking de TeamTNT sont centrées sur l'utilisation de quatre éléments clés, à savoir :

Mouvements latéraux

Les acteurs de la menace TeamTNT sont capables d'effectuer des mouvements latéraux locaux et externes pour améliorer les méthodes de détection et d'infection. Pour ce faire, lors des attaques de cryptojacking de TeamTNT, les acteurs de la menace utilisent des outils comme Masscan et ZGrab.les acteurs de la menace utilisent des outils tels que Masscan et ZGrab.

Détournement de ressources

Les dernières attaques de cryptojacking de TeamTNT se concentrent sur le déploiement du mineur de crypto-monnaie. Cela leur permet de contrôler ou d'acquérir une infrastructure ciblée qui est ensuite louée à d'autres, réduisant ainsi les coûts opérationnels du groupe de pirates.

Commandement et contrôle (C2)

Dans cette campagne d'attaque, TeamTNT a été observé en train d'utiliser le logiciel malveillant Sliver. Il est possible qu'il s'agisse d'un remplacement du logiciel malveillant Tsunami utilisé précédemment. Ce dernier était pénétrable par les chercheurs, ce qui leur a permis d'obtenir des informations, mais il n'en va pas de même pour le logiciel malveillant Sliver.

Outils en nuage

Le groupe de pirates est connu pour ses expériences avec des outils "cloud-native" fonctionnant sur la base de logiciels libres (OSS) et d'outils de sécurité offensifs (OST). Lors des récentes attaques de cryptojacking de attaques de cryptojacking de TeamTNTle groupe utilise :

DockerHub pour le stockage et la distribution de logiciels malveillants
Les logiciels malveillants de type argent pour la prise de contrôle et l'exploitation.

Chaîne d'attaque du cryptojacking TeamTNT

Des experts en cybersécurité enquêtent sur les attaques de cryptojacking les plus attaques de cryptojacking TeamTNT ont mis en évidence les techniques communes utilisées tout au long de la campagne. Il convient de noter que la chaîne d'attaque du groupe de cybercriminels a été divisée en différentes catégories avec une ou plusieurs actions. Ces catégories et actions sont les suivantes

Stade	Action(s)	Détails
Accès initial	Exploitation d'une application publique	L'accès initial est obtenu en exploitant les démons Docker exposés qui incluent les ports 2375, 2376, 4243 et 4244.
Exécution	Interprète de commandes et de scripts	Les acteurs de la menace exécutent le script initial, "TDGGinit.sh". sur les systèmes compromis.
Persistance	Modifier l'infrastructure informatique en nuage - Créer une instance en nuage	Les binaires Docker et Dockerswarm et les instances Docker activement exposées sont téléchargés dans un Docker Swarm pour maintenir un accès et un contrôle cohérents.
Défense Evasion	Exploitation pour l'évasion de la défense	Le logiciel malveillant Sliver est utilisé pour échapper à la détection car il se compile dynamiquement avec des clés de chiffrement par binaire.
	Mascarade	Les pirates utilisent des noms tels que "Chimaera" pour échapper à la détection et se faire passer pour des infrastructures et des processus légitimes.
	Rootkit	Des experts ont trouvé le "prochider rootkit" que les pirates ont déjà utilisé par le passé.
Accès aux données d'identification	Créances non garanties	Une recherche locale de clés et d'informations d'identification est effectuée et le logiciel malveillant est distribué après l'acquisition des informations d'identification.
Découverte	Analyse des services du réseau	Des outils comme masscan sont utilisés pour rechercher activement les démons Docker exposés.
Découverte	Découverte du système à distance	Un balayage local est également effectué pour trouver d'autres systèmes susceptibles d'être compromis.
Commandement et contrôle	Service Web - Résolveur de points morts	Docker Hub et des serveurs web sont utilisés pour stocker et distribuer le malware.
	Protocole de la couche d'application - DNS	Le logiciel malveillant Sliver est utilisé pour maintenir la communication C2.
	Proxy	Les communications C2 sont acheminées par des canaux légitimes, ce qui permet d'échapper à la détection.
Impact	Détournement de ressources	Les acteurs de la menace déploient un mineur de crypto-monnaie ou vendent la puissance de calcul.

Conclusion

Les attaques de cryptojacking de TeamTNT sur des environnements Docker illustrent la persistance du groupe et l'évolution de ses techniques. En exploitant les vulnérabilités de l'infrastructure en nuage, ils ne se contentent pas de miner de la crypto-monnaie, mais vendent également des ressources compromises, soulignant ainsi le besoin urgent de pratiques de sécurité robustes pour protéger les environnements conteneurisés.

Les sources de cet article comprennent des articles dans The Hacker News et Aqua.