TeamTNT 크립토재킹 공격: 도커 환경 표적 공격

최근 언론 보도에 따르면 최근 언론 보도, TeamTNT 크립토재킹 공격 이 클라우드 네이티브 환경을 주요 표적으로 삼고 있다고 합니다. 이러한 공격의 근본적인 목적은 암호화폐를 채굴하고 침해된 서버를 제3자에게 임대하는 것입니다. 이 글에서는 이러한 공격에 대해 자세히 알아보고 해커들이 Docker를 어떻게 활용하는지에 대해 알아보겠습니다. 시작하겠습니다!

TeamTNT 알아보기 

TeamTNT는 2019년 10월부터 활동한 위협 행위자 그룹입니다. 이 기간 동안 주로 클라우드 및 컨테이너화된 환경을 표적으로 삼았습니다. 이러한 리소스를 손상시킨 후, 위협 행위자 그룹은 이를 사용하여 표적 환경 내에 암호화폐 채굴기를 배포합니다. 

TeamTNT는 클라우드 환경을 대상으로 하는 다른 온라인 위협에 비해 비교적 새로운 위협입니다. 공격 전술에 관한 한, TeamTNT 위협 행위자들은 다른 그룹과 유사한 방법을 사용합니다. 하지만 소셜 미디어에서 활동하며 자기 홍보에 적극적이라는 점이 차별화 요소입니다. 

이 해커 그룹은 독일에 기반을 두고 있는 것으로 추정되지만, 그들의 X 계정 게시물은 영어와 독일어로 작성되어 있습니다. 또한, 이 그룹은 ‘AWS 인증 정보를 훔친 최초의 암호화폐 채굴 웜’ 및 ‘힐데가르드’와도 연관되어 있습니다. 암호화폐 채굴 악성코드와도 연관되어 있습니다. 이들은 2021년 2월 도커(Docker)와 쿠버네티스(Kubernetes)를 대상으로 공격 캠페인을 전개한 바 있습니다. 

이 공격 캠페인은 Docker Hub에서 호스팅되는 컨테이너 이미지 모음을 사용하는 데 중점을 두었습니다. 이러한 컨테이너 이미지는 다음과 같은 악의적인 의도로 잘못 구성된 도커 데몬, 위브 스코프, Kubeflow 대시보드를 표적으로 삼았습니다: 

• 지속적인 액세스를 유지하기 위해 백도어 공격을 실행합니다.
• 암호화폐 채굴. 
• 클라우드 자격 증명 도용. 
• 다음 피해자를 결정하기 위해 웜을 실행합니다. 

최근 TeamTNT 크라이포재킹 공격

가장 최근의 TeamTNT 크립토재킹 공격 은 위협 행위자가 기술을 발전시키면서 끈기를 유지하는 이 그룹의 능력을 입증하는 증거입니다. 이 기간 동안 TeamTNT 크립토재킹 공격 해커들은 도커 환경을 손상시키고 도커 스웜에 참여시키는 다단계 공격을 수행할 수 있었습니다.

클라우드 보안 회사인 Aqua의 위협 인텔리전스 디렉터인 Assaf Morag는 이러한 공격에 대한 인사이트를 제공하면서 다음과 같이 말했습니다. 다음과 같이 말했습니다. 다음과 같이 말했습니다:

"이 그룹은 현재 노출된 도커 데몬을 표적으로 삼아 사이버 웜인 Sliver 멀웨어와 크립토마이너를 배포하고 있으며, 손상된 서버와 도커 허브를 멀웨어 확산을 위한 인프라로 사용하고 있습니다."

이러한 인사이트는 암호화폐 채굴 멀웨어 해커들이 2021년 2월에 악의적인 이니셔티브에서 널리 퍼진 것과 유사한 공격 전술을 사용하고 있다는 것을 의미합니다. 그러나 최근의 주목할 만한 측면은 TeamTNT 크립토재킹 공격 수익 창출 전략의 다양화입니다.

보고서에 따르면 이 그룹은 악성 페이로드를 호스팅하고 배포하는 데 도커 허브를 사용했다고 합니다. 뿐만 아니라, 이들은 침해된 표적의 컴퓨팅 파워를 다른 제3자에게 제공하기도 했습니다. 이 컴퓨팅 파워는 암호화폐의 불법 채굴에 사용됩니다. 모라그는 채굴 장비 대여에 대해 다음과 같이 설명했습니다: 

"이들은 또한 피해자의 컴퓨팅 파워를 제3자에게 임대하여 직접 관리해야 하는 번거로움 없이 암호화폐 채굴을 통해 간접적으로 돈을 벌고 있습니다."

도커 크립토재킹 공격 초기 발견 

이러한 TeamTNT 크립토재킹 공격 은 클라우드 모니터링 서비스 제공업체인 Datadog에서 10월 초에 처음 발견하여 공개했습니다. 초기 공개에서는 다음과 같은 점을 강조했습니다. 감염된 도커 인스턴스가 표적이 되었다는 점을 강조했습니다.

이러한 악의적인 이니셔티브의 목적은 도커 스웜에 참여시키는 것이었습니다. 이러한 전술을 바탕으로 도커 크립토재킹 공격 캠페인이 TeamTNT의 소행인 것으로 확인되었습니다. 

자세한 내용을 살펴보기 전에, 지금까지 이 작업의 전체 범위가 명확하게 밝혀지지 않았다는 점에 주목할 필요가 있습니다. 언론 보도에서는 전문가들의 말을 인용하여 TeamTNT 크립토재킹 공격 의 인프라가 초기 단계에서 발견되었다고 밝혔습니다.

이러한 위협으로부터 보호하기 위한 사이버 보안 전략을 개발하기 위해서는 초기 발견과 공개가 모두 필수적입니다. 그러나 공개로 인해 위협 행위자가 경각심을 갖게 되면 공격 전술을 변경해야 할 수도 있습니다. 

암호화폐 채굴 악성코드 공격 세부 정보 

공격에 대한 자세한 내용을 살펴보기 전에, 현재 TeamTNT 크립토재킹 공격 은 이 그룹의 클라우드 공격 인프라의 시작을 알리는 신호탄입니다. 현재 이 해커 그룹은 손상된 웹 서버와 도커 허브 레지스트리를 모두 사용하여 다음과 같은 다양한 악의적인 시도를 하고 있습니다:

• 멀웨어 배포. 
• 암호화폐 채굴기 배포.
• 컴퓨팅 파워 대여. 

TeamTNT 공격 구성 요소  

그룹이 설립된 이래로 TeamTNT의 크립토재킹 공격 은 다음과 같은 네 가지 주요 구성 요소를 사용하는 데 중점을 두고 있습니다:

1. 측면 이동

TeamTNT 위협 행위자는 향상된 탐지 및 감염 방법을 위해 로컬 및 외부 측면 이동을 모두 수행할 수 있습니다. 이 작업을 수행하려면 TeamTNT 크립토재킹 공격위협 행위자는 Masscan 및 ZGrab과 같은 도구를 사용합니다.

1. 리소스 하이재킹 

가장 최근의 TeamTNT 크립토재킹 공격 은 암호화폐 채굴기를 배포하는 데 집중합니다. 이를 통해 표적이 된 인프라를 제어하거나 획득한 다음 다른 사람에게 임대하여 해커 그룹의 운영 비용을 절감할 수 있습니다.

1. 명령 및 제어(C2) 

이 공격 캠페인에서 TeamTNT는 Sliver 멀웨어를 사용하는 것이 관찰되었습니다. 이는 이전에 사용된 쓰나미 멀웨어를 대체하는 역할을 할 가능성이 있습니다. 이전 멀웨어는 연구원들이 침투할 수 있었기 때문에 인사이트를 얻을 수 있었지만 Sliver 멀웨어는 그렇지 않습니다.

1. 클라우드 도구 

이 해커 그룹은 오픈 소스 소프트웨어(OSS)와 공격용 보안 도구(OST)를 기반으로 작동하는 클라우드 네이티브 툴을 실험하는 것으로 유명합니다. 최근 발생한 TeamTNT 크립토재킹 공격에서 이 그룹이 사용하고 있습니다:

• 멀웨어 저장 및 배포를 위한 DockerHub 
• 제어권 획득 및 악용을 위한 실버 멀웨어. 

TeamTNT 크립토재킹 공격 체인

가장 많이 조사하는 사이버 보안 전문가 TeamTNT 크립토재킹 공격 을 조사하는 사이버 보안 전문가들은 캠페인 전반에 걸쳐 공통적으로 사용되는 기법을 강조했습니다. 사이버 범죄 그룹의 공격 체인이 여러 가지 행동 중 하나를 사용하여 여러 범주로 나뉘어져 있다는 점에 주목할 필요가 있습니다. 이러한 범주와 행동은 다음과 같습니다:

결론

도커 환경에 대한 TeamTNT의 크립토재킹 공격 은 이 그룹의 끈질긴 집요함과 진화하는 기술을 보여줍니다. 클라우드 인프라의 취약점을 악용하여 암호화폐를 채굴할 뿐만 아니라 손상된 리소스를 판매하기 때문에 강력한 보안 관행 강력한 보안 관행의 필요성을 강조합니다.

이 글의 출처에는 다음 기사가 포함됩니다. 해커 뉴스 와 Aqua.