TeamTNT
Un grupo que busca servidores en la nube y contenedores mal configurados para minar criptomonedas con los recursos de la víctima.
Quién es
TeamTNT es un grupo activo al menos desde octubre de 2019 que se dedica a entornos en la nube y contenedores. Su negocio principal es instalar mineros de criptomonedas que consumen la capacidad de cómputo de la víctima.
Cómo entra
Busca en internet servicios de contenedores expuestos o mal configurados, como APIs de Docker y componentes de Kubernetes, y credenciales de nube olvidadas en servidores.
Qué hace una vez dentro
Instala su malware Hildegard, roba credenciales con LaZagne y MimiPenguin y explora el clúster con Peirates. Hace mucho reconocimiento del entorno, se queda con persistencia y debilita las defensas para que el minero dure. Las llaves de nube robadas le abren más recursos.
A quién ataca
Cualquier organización con servidores en la nube o contenedores expuestos. No elige sector: elige configuraciones débiles.
Técnicas de MITRE ATT&CK
Ejecución 9
Persistencia 6
Escalada de privilegios 1
- T1611Escape to Host
Sigilo 8
Debilitamiento de defensas 4
Acceso a credenciales 3
Descubrimiento 11
- T1007System Service Discovery
- T1016System Network Configuration Discovery
- T1046Network Service Discovery
- T1049System Network Connections Discovery
- T1057Process Discovery
- T1082System Information Discovery
- T1083File and Directory Discovery
- T1120Peripheral Device Discovery
- T1518.001Security Software Discovery
- T1613Container and Resource Discovery
- T1680Local Storage Discovery
Movimiento lateral 1
- T1021.004SSH
Recolección 1
- T1074.001Local Data Staging
Comando y control 5
Exfiltración 1
- T1048Exfiltration Over Alternative Protocol
Impacto 1
- T1496.001Compute Hijacking
Fuente: MITRE ATT&CK v20, grupo G0139.
Arsenal
En verde, las que ya tienen ficha en nuestro catálogo de armamento; las demás llevan a MITRE.
