TeamTNT

Adept Libra로도 추적됨

TeamTNT는 2019년부터 클라우드 및 컨테이너 환경을 표적으로 삼아 온 금전적 동기의 그룹입니다. 침해된 Linux 호스트와 컨테이너에서 AWS 자격 증명을 수집합니다. 이후 피해 환경 전반에 걸쳐 대규모로 암호화폐 채굴기를 배포합니다.

클라우드 공격 수법

• AWS 인스턴스 메타데이터 서비스에 자격 증명을 질의합니다
• 파일 시스템에서 보호되지 않은 AWS 키와 SSH 키를 검색합니다
• 탈취한 자격 증명으로 AWS CLI를 사용하여 환경을 열거합니다
• 호스트, 컨테이너, Kubernetes 클러스터에 XMRig 채굴기를 배포합니다
• 침해된 호스트에서 접근을 유지하기 위해 공격자 SSH 키를 추가합니다

MITRE ATT&CK 기법

참고 자료

• MITRE ATT&CK: TeamTNT (G0139)
• TeamTNT: The First Crypto-Mining Worm to Steal AWS Credentials
• TeamTNT Actively Enumerating Cloud Environments to Infiltrate Organizations