TeamTNT

Adept Libra としても追跡されています

TeamTNT は、2019 年以降クラウドおよびコンテナ環境を標的にしてきた金銭目的のグループです。侵害した Linux ホストやコンテナから AWS の認証情報を収集します。その後、被害環境全体に大規模な暗号通貨マイナーを展開します。

クラウドでの手口

• AWS インスタンスメタデータサービスに認証情報を問い合わせます
• ファイルシステムを検索して、保護されていない AWS キーと SSH キーを探します
• 盗んだ認証情報で AWS CLI を使い、環境を列挙します
• ホスト、コンテナ、Kubernetes クラスターに XMRig マイナーを展開します
• 侵害したホストでアクセスを維持するために攻撃者の SSH キーを追加します

MITRE ATT&CK テクニック

参考資料

• MITRE ATT&CK: TeamTNT (G0139)
• TeamTNT: The First Crypto-Mining Worm to Steal AWS Credentials
• TeamTNT Actively Enumerating Cloud Environments to Infiltrate Organizations