Ataques de cryptojacking do TeamTNT: ambientes do Docker são alvo

De acordo com recentes reportagens da mídia, os ataques de cryptojacking do TeamTNT estão se disseminando, tendo os ambientes nativos da nuvem como alvo principal. O objetivo por trás desses ataques é minerar criptomoedas e alugar servidores invadidos para terceiros. Neste artigo, vamos nos aprofundar nos detalhes desses ataques e entender como os hackers estão utilizando o Docker. Vamos começar! 

Conhecendo a TeamTNT 

O TeamTNT é um grupo de agentes maliciosos em atividade desde outubro de 2019. Durante esse período, eles têm tido como alvo principal ambientes em nuvem e em contêineres. Após comprometer esses recursos, o grupo os utiliza para implantar mineradores de criptomoedas nos ambientes visados. 

O TeamTNT é relativamente novo em comparação com outras ameaças online que têm como alvo ambientes em nuvem. No que diz respeito às táticas de ataque, os autores das ameaças do TeamTNT utilizam métodos semelhantes aos de outros grupos. No entanto, sua presença nas redes sociais e sua habilidade para se autopromover são um fator diferenciador. 

Embora se acredite que o grupo de hackers esteja localizado na Alemanha, as postagens em sua conta no X são feitas tanto em inglês quanto em alemão. Além disso, o grupo também está ligado ao primeiro worm de mineração de criptomoedas a roubar credenciais da AWS e ao Hildegard malware de cryptojacking . Eles lançaram uma campanha de ataques contra o Docker e o Kubernetes em fevereiro de 2021. 

A campanha de ataques se concentrou no uso de um conjunto de imagens de contêineres hospedadas no Docker Hub. Essas imagens de contêineres tinham como alvo daemons do Docker mal configurados, o Weave Scope e painéis do Kubeflow, com o objetivo de realizar ações maliciosas, entre as quais: 

• Executar ataques por backdoor para manter acesso persistente.
• Mineração de criptomoedas. 
• Roubo de credenciais na nuvem. 
• Lançamento de um worm para identificar a próxima vítima. 

Recentes Ataques de crypojacking do TeamTNT

Os mais recentes ataques de cryptojacking do TeamTNT realizados pelo agente malicioso comprovam a capacidade do grupo de manter a persistência enquanto aprimora suas técnicas. Durante esses ataques de cryptojacking do TeamTNT , os hackers conseguiram montar ataques em várias etapas que comprometem ambientes Docker e os incorporam a um Docker Swarm. 

Ao analisar esses ataques, Assaf Morag, diretor de inteligência contra ameaças da Aqua, uma empresa de segurança em nuvem, afirmou afirmou que: 

“Atualmente, o grupo está visando daemons do Docker expostos para distribuir o malware Sliver, um verme cibernético, e mineradores de criptomoedas, utilizando servidores comprometidos e o Docker Hub como infraestrutura para espalhar seu malware.”

Essas observações indicam que os hackers responsáveis pelo malware de mineração de criptomoedas estão utilizando táticas de ataque semelhantes às que prevaleceram em sua iniciativa maliciosa em fevereiro de 2021. No entanto, um aspecto notável dos recentes ataques de cryptojacking do TeamTNT é a diversificação de sua estratégia de monetização. 

Relatórios afirmam que o grupo vem utilizando o Docker Hub para hospedar e distribuir as cargas maliciosas. Mas, além disso, eles também têm oferecido o poder computacional dos alvos comprometidos a terceiros. Esse poder computacional é então utilizado para a mineração ilícita de criptomoedas. Ao comentar sobre o esquema de aluguel de equipamentos de mineração, Morag afirmou que: 

“Eles também estão alugando o poder computacional das vítimas para terceiros, ganhando dinheiro indiretamente com a mineração de criptomoedas sem o trabalho de ter que gerenciá-la eles mesmos.”

Descoberta inicial do ataque de cryptojacking no Docker 

Esses ataques de cryptojacking do TeamTNT foram inicialmente descobertos e divulgados no início de outubro pela Datadog, uma provedora de serviços de monitoramento em nuvem. A divulgação inicial destacou que instâncias do Docker estavam sendo alvo dos ataques. 

O objetivo dessas iniciativas maliciosas era incorporá-los a um Docker Swarm. Com base nessas táticas, concluiu-se que a campanha de ataques de cryptojacking no Docker é obra do TeamTNT. 

Antes de entrarmos em mais detalhes, vale ressaltar que a extensão total da operação não estava clara até agora. Reportagens da mídia citaram especialistas afirmando que a infraestrutura do ataques de cryptojacking do TeamTNT foi descoberta em seu estágio inicial. 

Tanto a descoberta inicial quanto sua divulgação são essenciais para o desenvolvimento de uma estratégia de segurança cibernética que garanta proteção contra tais ameaças. No entanto, a divulgação pode alarmar o autor da ameaça, forçando-o a mudar suas táticas de ataque. 

Detalhes do ataque de malware de mineração de criptomoedas 

Antes de nos aprofundarmos nos detalhes dos ataques, vale a pena destacar que o atual ataques de cryptojacking do TeamTNT marcam o início da infraestrutura de ataques em nuvem do grupo. Atualmente, o grupo de hackers está utilizando tanto servidores web comprometidos quanto registros do Docker Hub para diversas iniciativas maliciosas, que incluem: 

• Distribuição de malware. 
• Implantação de mineradores de criptomoedas.
• Aluguel de capacidade computacional. 

Componentes do TeamTNT Attacks  

Desde a criação do grupo, os ataques de cryptojacking do TeamTNT têm se concentrado no uso de quatro componentes principais, que incluem:  

1. Movimentos laterais

Os agentes maliciosos do TeamTNT são capazes de realizar movimentos laterais tanto locais quanto externos, a fim de aprimorar seus métodos de detecção e infecção. Para fazer isso durante ataques de cryptojacking do TeamTNT, os agentes maliciosos utilizam ferramentas como o Masscan e o ZGrab.

1. Sequestro de recursos 

Os mais recentes ataques de cryptojacking do TeamTNT concentram-se na implantação do minerador de criptomoedas. Isso lhes permite controlar ou adquirir uma infraestrutura alvo, que é então alugada a terceiros, reduzindo os custos operacionais do grupo de hackers. 

1. Comando e Controle (C2) 

Nesta campanha de ataques, observou-se que o TeamTNT vem utilizando o malware Sliver. É possível que ele tenha substituído o malware Tsunami, utilizado anteriormente. O malware anterior podia ser violado pelos pesquisadores, o que lhes permitiu obter informações, mas o mesmo não pode ser dito do malware Sliver.

1. Ferramentas na nuvem 

O grupo de hackers é conhecido por fazer experiências com ferramentas nativas da nuvem que operam com base em software de código aberto (OSS) e ferramentas de segurança ofensiva (OSTs). Durante o recente ataques de cryptojacking do TeamTNT, o grupo está utilizando:  

• DockerHub para armazenamento e distribuição de malware 
• Malware “Silver” para obter controle e explorar vulnerabilidades. 

Cadeia de ataques de cryptojacking da TeamTNT

Especialistas em segurança cibernética que investigam os ataques de cryptojacking do TeamTNT destacaram técnicas comuns predominantes ao longo da campanha. Vale ressaltar que a cadeia de ataques do grupo de cibercrime foi dividida em diferentes categorias, cada uma com várias ações. Essas categorias e ações incluem:  

Conclusão

Os ataques de cryptojacking do TeamTNT em ambientes Docker demonstram a persistência do grupo e a evolução de suas técnicas. Ao explorar vulnerabilidades na infraestrutura em nuvem, eles não apenas mineram criptomoedas, mas também vendem recursos comprometidos, destacando a necessidade urgente de práticas de segurança robustas para proteger ambientes em contêineres.

As fontes utilizadas neste artigo incluem matérias publicadas no The Hacker News e Aqua.