TeamTNT

Également suivi sous le nom Adept Libra

TeamTNT est un groupe à motivation financière qui cible les environnements cloud et conteneurisés depuis 2019. Il récolte des identifiants AWS sur des hôtes Linux et des conteneurs compromis. Il déploie ensuite des mineurs de cryptomonnaie à grande échelle dans l'environnement de la victime.

Techniques cloud

• Interroge le service de métadonnées d'instance AWS pour obtenir des identifiants
• Recherche dans le système de fichiers des clés AWS et des clés SSH non sécurisées
• Utilise l'AWS CLI avec des identifiants volés pour énumérer l'environnement
• Déploie des mineurs XMRig sur les hôtes, les conteneurs et les clusters Kubernetes
• Ajoute des clés SSH de l'attaquant pour conserver l'accès aux hôtes compromis

Techniques MITRE ATT&CK

Références

• MITRE ATT&CK: TeamTNT (G0139)
• TeamTNT: The First Crypto-Mining Worm to Steal AWS Credentials
• TeamTNT Actively Enumerating Cloud Environments to Infiltrate Organizations