TeamTNT

También rastreado como Adept Libra

TeamTNT es un grupo con motivación económica que ataca entornos cloud y de contenedores desde 2019. Recopila credenciales de AWS de hosts Linux y contenedores comprometidos. Después despliega mineros de criptomonedas a gran escala en todo el entorno de la víctima.

Técnicas cloud

• Consulta el servicio de metadatos de instancia de AWS para obtener credenciales
• Busca en el sistema de archivos claves de AWS y claves SSH sin proteger
• Usa la AWS CLI con credenciales robadas para enumerar el entorno
• Despliega mineros XMRig en hosts, contenedores y clústeres de Kubernetes
• Añade claves SSH del atacante para mantener el acceso en hosts comprometidos

Técnicas de MITRE ATT&CK

Referencias

• MITRE ATT&CK: TeamTNT (G0139)
• TeamTNT: The First Crypto-Mining Worm to Steal AWS Credentials
• TeamTNT Actively Enumerating Cloud Environments to Infiltrate Organizations