Un actor malintencionado se vincul\u00f3 a una campa\u00f1a de robo de credenciales en la nube en junio de 2023 que se centr\u00f3 en los servicios de Azure y Google Cloud Platform (GCP), lo que marca la expansi\u00f3n del adversario en la orientaci\u00f3n m\u00e1s all\u00e1 de Amazon Web Services (AWS).<\/p>\n
Los hallazgos provienen de SentinelOne<\/a> y permiso<\/a>que dijo que las “campa\u00f1as comparten similitudes con las herramientas atribuidas al notorio equipo de cryptojacking TeamTNT”, aunque enfatiz\u00f3 que “la atribuci\u00f3n sigue siendo un desaf\u00edo con las herramientas basadas en scripts”.<\/p>\n Tambi\u00e9n se superponen con una campa\u00f1a en curso de TeamTNT revelada por Aqua llamada Silentbob que aprovecha los servicios en la nube mal configurados para lanzar malware como parte de lo que se dice que es un esfuerzo de prueba, al tiempo que vincula los ataques de SCARLETEEL con el actor de amenazas, citando similitudes de infraestructura.<\/p>\n “TeamTNT est\u00e1 buscando credenciales en m\u00faltiples entornos de nube, incluidos AWS, Azure y GCP”, se\u00f1al\u00f3 Aqua.<\/p>\n Los ataques, que seleccionan instancias de Docker p\u00fablicas para implementar un m\u00f3dulo de propagaci\u00f3n similar a un gusano, son una continuaci\u00f3n de un conjunto de intrusiones que apuntado previamente<\/a> Jupyter Notebooks en diciembre de 2022.<\/p>\n Se descubrieron hasta ocho versiones incrementales del script de recopilaci\u00f3n de credenciales entre el 15 de junio de 2023 y el 11 de julio de 2023, lo que indica una campa\u00f1a en evoluci\u00f3n activa.<\/p>\n Las versiones m\u00e1s nuevas del malware est\u00e1n dise\u00f1adas para recopilar credenciales de AWS, Azure, Google Cloud Platform, Censys, Docker, Filezilla, Git, Grafana, Kubernetes, Linux, Ngrok, PostgreSQL, Redis, S3QL y SMB. Las credenciales recopiladas luego se filtran a un servidor remoto bajo el control del actor de amenazas.<\/p>\n Prot\u00e9jase contra las amenazas internas: Domine la gesti\u00f3n de la postura de seguridad de SaaS<\/p>\n <\/a><\/p>\n \u00bfPreocupado por las amenazas internas? \u00a1Te tenemos cubierto! \u00danase a este seminario web para explorar estrategias pr\u00e1cticas y los secretos de la seguridad proactiva con SaaS Security Posture Management.<\/p>\n \u00danete hoy<\/a><\/section>\n SentinelOne dijo que la l\u00f3gica de recopilaci\u00f3n de credenciales y los archivos seleccionados tienen similitudes con un Campa\u00f1a de orientaci\u00f3n de Kubelet<\/a> realizado por TeamTNT en septiembre de 2022. <\/p>\n Junto con el malware shell script, tambi\u00e9n se ha observado que el actor de amenazas distribuye un binario ELF basado en Golang que act\u00faa como un esc\u00e1ner para propagar el malware a objetivos vulnerables. El binario deja caer adem\u00e1s una utilidad de escaneo de red Golang llamada Zgrab.<\/p>\n “Esta campa\u00f1a demuestra la evoluci\u00f3n de un actor de nube experimentado con familiaridad con muchas tecnolog\u00edas”, dijeron los investigadores de seguridad Alex Delamotte, Ian Ahl y Daniel Bohannon. “La meticulosa atenci\u00f3n a los detalles indica claramente que el actor ha experimentado muchas pruebas y errores”.<\/p>\n “Este actor est\u00e1 ajustando y mejorando activamente sus herramientas. Seg\u00fan los ajustes observados en las \u00faltimas semanas, es probable que el actor se est\u00e9 preparando para campa\u00f1as a mayor escala”.<\/p>\n <\/p>\n![\"Azure](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/07\/1689364791_688_La-campana-de-robo-de-credenciales-en-la-nube-de.jpg\" "\\"Azure")
<\/div>\n