El infame grupo de criptojacking conocido como TeamTNT parece estar prepar\u00e1ndose para una nueva campa\u00f1a a gran escala dirigida a entornos nativos de la nube para extraer criptomonedas y alquilar servidores pirateados a terceros.<\/p>\n
“Actualmente, el grupo est\u00e1 apuntando a demonios Docker expuestos para implementar malware Sliver, un gusano cibern\u00e9tico y criptomineros, utilizando servidores comprometidos y Docker Hub como infraestructura para difundir su malware”, Assaf Morag, director de inteligencia de amenazas de la firma de seguridad en la nube Aqua, dicho<\/a> en un informe publicado el viernes.<\/p>\n La actividad de ataque es una vez m\u00e1s un testimonio de la persistencia del actor de amenazas y su capacidad para evolucionar sus t\u00e1cticas y montar ataques de m\u00faltiples etapas con el objetivo de comprometer los entornos Docker y alistarlos en un Docker Swarm.<\/p>\n Adem\u00e1s de utilizar Docker Hub para alojar y distribuir sus cargas maliciosas, se ha observado que TeamTNT ofrece el poder computacional de las v\u00edctimas a otras partes para la miner\u00eda il\u00edcita de criptomonedas, diversificando su estrategia de monetizaci\u00f3n.<\/p>\n Los rumores sobre la campa\u00f1a de ataque surgieron a principios de este mes cuando Datadog revel\u00f3 intentos maliciosos de acorralar instancias de Docker infectadas en un Docker Swarm, aludiendo que podr\u00eda ser trabajo de TeamTNT, sin llegar a hacer una atribuci\u00f3n formal. Pero hasta ahora no ha quedado claro el alcance total de la operaci\u00f3n.<\/p>\n Morag dijo a The Hacker News que Datadog “encontr\u00f3 la infraestructura en una etapa muy temprana” y que su descubrimiento “oblig\u00f3 al actor de amenazas a cambiar un poco la campa\u00f1a”.<\/p>\n Los ataques implican identificar puntos finales de Docker API expuestos y no autenticados usando Masscan y ZGrab y usarlos para la implementaci\u00f3n de criptomineros y vender la infraestructura comprometida a otros en una plataforma de alquiler de miner\u00eda llamada Mining Rig Rentals, descargando efectivamente el trabajo de tener que administrarlos ellos mismos, una se\u00f1al de la maduraci\u00f3n del modelo de negocio il\u00edcito.<\/p>\n Espec\u00edficamente, esto se lleva a cabo mediante un script de ataque que busca demonios Docker en los puertos 2375, 2376, 4243 y 4244 en casi 16,7 millones de direcciones IP. Posteriormente, implementa un contenedor que ejecuta una imagen de Alpine Linux con comandos maliciosos.<\/p>\n La imagen, recuperada de una cuenta de Docker Hub comprometida (“nmlm99”) bajo su control, tambi\u00e9n ejecuta un script de shell inicial llamado Docker Gatling Gun (“TDGGinit.sh”) para iniciar actividades posteriores a la explotaci\u00f3n.<\/p>\n Un cambio notable observado por Aqua es el cambio de la puerta trasera Tsunami al marco de comando y control (C2) de c\u00f3digo abierto Sliver para controlar de forma remota los servidores infectados.<\/p>\n “Adem\u00e1s, TeamTNT contin\u00faa usando sus convenciones de nomenclatura establecidas, como Chimaera, TDGG y bioset (para operaciones C2), lo que refuerza la idea de que esta es una campa\u00f1a cl\u00e1sica de TeamTNT”, dijo Morag.<\/p>\n “En esta campa\u00f1a, TeamTNT tambi\u00e9n utiliza anondns (AnonDNS o DNS an\u00f3nimo es un concepto o servicio dise\u00f1ado para proporcionar anonimato y privacidad al resolver consultas de DNS), para apuntar a su servidor web”.<\/p>\n Los hallazgos se producen cuando Trend Micro arroja luz sobre una nueva campa\u00f1a que involucr\u00f3 un ataque de fuerza bruta dirigido contra un cliente an\u00f3nimo para entregar la botnet de criptominer\u00eda Prometei.<\/p>\n “Prometei se propaga en el sistema explotando vulnerabilidades en el Protocolo de escritorio remoto (RDP) y el Bloque de mensajes del servidor (SMB)”, afirma la empresa. dicho<\/a>destacando los esfuerzos del actor de amenazas para establecer la persistencia, evadir las herramientas de seguridad y obtener un acceso m\u00e1s profundo a la red de una organizaci\u00f3n a trav\u00e9s del volcado de credenciales y el movimiento lateral.<\/p>\n “Las m\u00e1quinas afectadas se conectan a un servidor de grupo de miner\u00eda que puede usarse para extraer criptomonedas (Monero) en m\u00e1quinas comprometidas sin el conocimiento de la v\u00edctima”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/10\/El-notorio-grupo-de-hackers-TeamTNT-lanza-nuevos-ataques-en.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n