TeamTNT

Auch bekannt als Adept Libra

TeamTNT ist eine finanziell motivierte Gruppe, die seit 2019 Cloud- und Container-Umgebungen ins Visier nimmt. Sie sammelt AWS-Anmeldeinformationen von kompromittierten Linux-Hosts und Containern. Anschließend setzt sie in großem Umfang Kryptowährungs-Miner in der Umgebung des Opfers ein.

Cloud-Tradecraft

• Fragt den AWS-Instanz-Metadatendienst nach Anmeldeinformationen ab
• Durchsucht das Dateisystem nach ungesicherten AWS-Schlüsseln und SSH-Schlüsseln
• Nutzt die AWS CLI mit gestohlenen Anmeldeinformationen, um die Umgebung zu enumerieren
• Setzt XMRig-Miner auf Hosts, Containern und Kubernetes-Clustern ein
• Fügt Angreifer-SSH-Schlüssel hinzu, um den Zugriff auf kompromittierten Hosts aufrechtzuerhalten

MITRE ATT&CK-Techniken

Referenzen

• MITRE ATT&CK: TeamTNT (G0139)
• TeamTNT: The First Crypto-Mining Worm to Steal AWS Credentials
• TeamTNT Actively Enumerating Cloud Environments to Infiltrate Organizations