研究人員表示，TeamTNT似乎正在為更廣泛的云蠕蟲攻擊做準(zhǔn)備。

在過去的幾個(gè)月里，針對(duì)亞馬遜網(wǎng)絡(luò)服務(wù)(AWS)環(huán)境的復(fù)雜的云憑證竊取和密碼挖掘活動(dòng)現(xiàn)在已經(jīng)擴(kuò)展到Azure和谷歌云平臺(tái)(GCP)。而且，研究人員已經(jīng)確定，該活動(dòng)中使用的工具與TeamTNT相關(guān)的工具有相當(dāng)大的重疊，TeamTNT是一個(gè)臭名昭著的、出于經(jīng)濟(jì)動(dòng)機(jī)的威脅行為者。

據(jù)SentinelOne和Permiso的研究人員稱，更廣泛的攻擊目標(biāo)似乎是從今年6月開始的，這與自去年12月一系列攻擊開始以來，該活動(dòng)背后的威脅行為者不斷對(duì)其進(jìn)行的一系列增量改進(jìn)是一致的。

兩家公司在各自的報(bào)告中指出，針對(duì)Azure和谷歌云服務(wù)的攻擊涉及的核心攻擊腳本，與背后的威脅組織在AWS攻擊中使用的腳本相同。然而，與AWS工具相比，Azure和GCP功能還處于初級(jí)階段，開發(fā)程度較低，SentinelOne的威脅研究員Alex Delamotte表示。

她說:“攻擊者只在最近的6月24日和更新的攻擊中實(shí)施了Azure憑證收集模塊。這種發(fā)展是一致的，如果攻擊者認(rèn)為這是一項(xiàng)有價(jià)值的投資，我們可能會(huì)在未來幾周看到更多針對(duì)這些環(huán)境的定制自動(dòng)化工具出現(xiàn)?！?/strong>

TeamTNT威脅組以攻擊暴露的云服務(wù)而聞名，并通過利用云錯(cuò)誤配置和漏洞而蓬勃發(fā)展。雖然TeamTNT最初專注于加密采礦活動(dòng)，但最近它已經(jīng)擴(kuò)展到數(shù)據(jù)盜竊和后門部署活動(dòng)，最新的活動(dòng)也反映了這一點(diǎn)。

在這種情況下，根據(jù)SentinelOne和Permiso的說法，攻擊者從上個(gè)月開始瞄準(zhǔn)暴露的Docker服務(wù)，使用新修改的shell腳本來確定它們所處的環(huán)境，分析系統(tǒng)，搜索憑證文件，并泄漏它們。

SentineOne研究人員說，該腳本還包含一個(gè)收集環(huán)境變量細(xì)節(jié)的功能，可能用于確定系統(tǒng)上是否有其他有價(jià)值的服務(wù)，以便以后進(jìn)行攻擊?！?/p>

Delamotte說：“攻擊者的工具集列舉了服務(wù)環(huán)境信息，而不管底層云服務(wù)提供商是誰。我們?cè)贏zure或GCP上看到的唯一自動(dòng)化與憑證收集有關(guān)。任何后續(xù)活動(dòng)都可能是用手敲擊鍵盤?！?/strong>

這一發(fā)現(xiàn)為Aqua Security最近的研究提供了補(bǔ)充，該研究顯示了針對(duì)面向公眾的Docker和JupyterLab api的惡意活動(dòng)。Aqua的研究人員滿懷信心地將這一活動(dòng)歸功于TeamTNT。

他們?cè)u(píng)估稱，該威脅行為者正在準(zhǔn)備一種侵略性云蠕蟲，旨在部署在AWS環(huán)境中，目的是促進(jìn)云憑證盜竊、資源劫持和部署一個(gè)名為海嘯的后門。

同樣，SentinelOne和Permiso對(duì)不斷演變的威脅的聯(lián)合分析表明，除了早期攻擊的shell腳本外，TeamTNT現(xiàn)在還提供了一個(gè)upx封裝的、基于golang的ELF二進(jìn)制文件。二進(jìn)制文件基本上刪除并執(zhí)行另一個(gè)shell腳本，用于掃描攻擊者指定的范圍并傳播到其他易受攻擊的目標(biāo)。

標(biāo)簽：