Hasta 196 hosts han sido infectados como parte de una agresiva campa\u00f1a en la nube montada por el grupo TeamTNT llamada Bob silencioso<\/strong>.<\/p>\n “La botnet dirigida por TeamTNT ha puesto su mirada en los entornos Docker y Kubernetes, los servidores Redis, las bases de datos Postgres, los cl\u00fasteres Hadoop, los servidores Tomcat y Nginx, las aplicaciones Weave Scope, SSH y Jupyter”, dijeron los investigadores de seguridad de Aqua, Ofek Itach y Assaf Morag. dicho<\/a> en un informe compartido con The Hacker News.<\/p>\n “El enfoque esta vez parece estar m\u00e1s en infectar sistemas y probar la botnet, en lugar de implementar criptomineros con fines de lucro”.<\/p>\n El desarrollo llega una semana despu\u00e9s de que la compa\u00f1\u00eda de seguridad en la nube detallara un conjunto de intrusiones vinculado al grupo TeamTNT que apunta a las API expuestas de JupyterLab y Docker para implementar el malware Tsunami y secuestrar los recursos del sistema para ejecutar un minero de criptomonedas.<\/p>\n Los \u00faltimos hallazgos sugieren una campa\u00f1a m\u00e1s amplia y el uso de una infraestructura de ataque m\u00e1s grande de lo que se pensaba anteriormente, incluidos varios scripts de shell para robar credenciales, implementar puertas traseras SSH, descargar cargas \u00fatiles adicionales y eliminar herramientas leg\u00edtimas como kubectl<\/a>, Pacu<\/a>y Piratas<\/a> para llevar a cabo el reconocimiento del entorno de la nube.<\/p>\n Las cadenas de ataque se realizan a trav\u00e9s de la implementaci\u00f3n de im\u00e1genes de contenedores no autorizadas alojadas en Docker Hub, que est\u00e1n dise\u00f1adas para escanear Internet en busca de instancias mal configuradas e infectar a las v\u00edctimas reci\u00e9n identificadas con Tsunami y un script de gusano para cooptar m\u00e1s m\u00e1quinas en una red de bots.<\/p>\n “Esta botnet es notablemente agresiva, prolifera r\u00e1pidamente en la nube y se dirige a una amplia gama de servicios y aplicaciones dentro del ciclo de vida de desarrollo de software (SDLC)”, dijeron los investigadores. “Funciona a una velocidad impresionante, demostrando una notable capacidad de escaneo”.<\/p>\n Tsunami utiliza Internet Relay Chat (IRC<\/a>) para conectarse al servidor de comando y control (C2), que luego emite comandos a todos los hosts infectados bajo su control, lo que permite que el actor de amenazas mantenga el acceso de puerta trasera.<\/p>\n Adem\u00e1s, la ejecuci\u00f3n del cryptomining se oculta mediante un rootkit llamado prochider para evitar que sea detectado cuando un comando pd<\/a> se ejecuta en el sistema pirateado para recuperar la lista de procesos activos.<\/p>\n Prot\u00e9jase contra las amenazas internas: Domine la gesti\u00f3n de la postura de seguridad de SaaS<\/p>\n <\/a><\/p>\n \u00bfPreocupado por las amenazas internas? \u00a1Te tenemos cubierto! \u00danase a este seminario web para explorar estrategias pr\u00e1cticas y los secretos de la seguridad proactiva con SaaS Security Posture Management.<\/p>\n \u00danete hoy<\/a><\/section>\n \u201cTeamTNT est\u00e1 buscando credenciales en m\u00faltiples entornos de nube, incluidos AWS, Azure y GCP\u201d, dijeron los investigadores. Es la evidencia m\u00e1s reciente de que los actores de amenazas est\u00e1n mejorando su oficio.<\/p>\n “No solo buscan credenciales generales, sino tambi\u00e9n aplicaciones espec\u00edficas como Grafana, Kubernetes, Docker Compose, Git access y NPM. Adem\u00e1s, buscan bases de datos y sistemas de almacenamiento como Postgres, AWS S3, Filezilla y SQLite. “<\/p>\n El desarrollo se produce d\u00edas despu\u00e9s de que Sysdig revelara un nuevo ataque montado por SCARLETEEL para comprometer la infraestructura de AWS con el objetivo de realizar el robo de datos y distribuir mineros de criptomonedas en sistemas comprometidos.<\/p>\n Si bien hubo v\u00ednculos circunstanciales que conectan a SCARLETEEL con TeamTNT, Aqua le dijo a The Hacker News que el equipo de intrusi\u00f3n est\u00e1 de hecho vinculado al actor de amenazas.<\/p>\n “Esta es otra campa\u00f1a de TeamTNT”, dijo Morag, analista principal de datos del equipo de investigaci\u00f3n de Aqua Nautilus. “La direcci\u00f3n IP de SCARLETEEL, 45.9.148[.]221<\/a>, se us\u00f3 hace unos d\u00edas en el servidor C2 del canal IRC de TeamTNT. Los scripts son muy similares y los TTP son los mismos. Parece que TeamTNT nunca dej\u00f3 de atacar. Si alguna vez se retiraron, fue solo por un breve momento”.<\/p>\n <\/p>\n![\"Red](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/07\/1689282535_405_La-red-de-bots-Silentbob-de-TeamTNT-infecta-196-hosts.jpg\" "\\"Red")
<\/div>\n