TeamTNT

تُتعقّب أيضاً باسم Adept Libra

TeamTNT مجموعة ذات دوافع مالية استهدفت بيئات السحابة والحاويات منذ عام 2019. تحصد بيانات اعتماد AWS من مضيفات Linux والحاويات المخترقة. ثم تنشر مُعدِّني العملات المشفرة على نطاق واسع في بيئة الضحية.

أساليب العمل في السحابة

• يستعلم من خدمة بيانات تعريف مثيل AWS عن بيانات الاعتماد
• يبحث في نظام الملفات عن مفاتيح AWS ومفاتيح SSH غير المؤمّنة
• يستخدم AWS CLI ببيانات اعتماد مسروقة لتعداد البيئة
• ينشر معدّني XMRig على المضيفين والحاويات ومجموعات Kubernetes
• تضيف مفاتيح SSH للمهاجم للحفاظ على الوصول إلى المضيفين المخترَقين

تقنيات MITRE ATT&CK

المراجع

• MITRE ATT&CK: TeamTNT (G0139)
• TeamTNT: The First Crypto-Mining Worm to Steal AWS Credentials
• TeamTNT Actively Enumerating Cloud Environments to Infiltrate Organizations