Le groupe de cryptojacking connu sous le nom de \u00c9quipeTNT<\/strong> est soup\u00e7onn\u00e9 d’\u00eatre \u00e0 l’origine d’une souche de logiciels malveillants jusque-l\u00e0 inconnue utilis\u00e9e pour exploiter la crypto-monnaie Monero sur des syst\u00e8mes compromis.<\/p>\n C’est selon Cado Security, qui trouv\u00e9<\/a> le go\u00fbter<\/a> apr\u00e8s que Sysdig a d\u00e9taill\u00e9 une attaque sophistiqu\u00e9e connue sous le nom de SCARLETEEL visant des environnements conteneuris\u00e9s pour finalement voler des donn\u00e9es et des logiciels propri\u00e9taires.<\/p>\n Plus pr\u00e9cis\u00e9ment, la premi\u00e8re phase de la cha\u00eene d’attaque impliquait l’utilisation d’un mineur de crypto-monnaie, que la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 cloud soup\u00e7onnait d’avoir \u00e9t\u00e9 d\u00e9ploy\u00e9 comme leurre pour dissimuler la d\u00e9tection d’exfiltration de donn\u00e9es.<\/p>\n L’artefact – t\u00e9l\u00e9charg\u00e9 sur VirusTotal \u00e0 la fin du mois dernier – “ours[s] plusieurs similitudes syntaxiques et s\u00e9mantiques avec les charges utiles TeamTNT pr\u00e9c\u00e9dentes, et comprend un identifiant de portefeuille qui leur a d\u00e9j\u00e0 \u00e9t\u00e9 attribu\u00e9 \u00bb, une nouvelle analyse de Cado Security a r\u00e9v\u00e9l\u00e9<\/a>.<\/p>\n TeamTNT, actif depuis au moins 2019, a \u00e9t\u00e9 document\u00e9 pour frapper \u00e0 plusieurs reprises les environnements de cloud et de conteneurs pour d\u00e9ployer des mineurs de crypto-monnaie. Il est \u00e9galement connu pour lib\u00e9rer un ver de crypto-minage capable de voler les informations d’identification AWS.<\/p>\n Alors que l’acteur de la menace a volontairement arr\u00eat\u00e9 ses op\u00e9rations en novembre 2021, la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 cloud Aqua a r\u00e9v\u00e9l\u00e9 en septembre 2022 une nouvelle s\u00e9rie d’attaques mont\u00e9es par le groupe ciblant des instances Docker et Redis mal configur\u00e9es.<\/p>\n Cela dit, il y a aussi des indications que des \u00e9quipages rivaux tels que Chien de garde<\/a> pourrait imiter les tactiques, techniques et proc\u00e9dures (TTP) de TeamTNT pour d\u00e9jouer les efforts d’attribution.<\/p>\n Un autre groupe d’activit\u00e9s \u00e0 noter est Kiss-a-dog, qui s’appuie \u00e9galement sur des outils et une infrastructure de commande et de contr\u00f4le (C2) pr\u00e9c\u00e9demment associ\u00e9s \u00e0 TeamTNT pour exploiter la crypto-monnaie.<\/p>\n Il n’y a aucune preuve concr\u00e8te pour lier le nouveau logiciel malveillant \u00e0 l’attaque SCARLETEEL. Mais Cado Security a soulign\u00e9 que l’\u00e9chantillon a fait surface \u00e0 peu pr\u00e8s au m\u00eame moment o\u00f9 ce dernier a \u00e9t\u00e9 signal\u00e9, ce qui soul\u00e8ve la possibilit\u00e9 qu’il s’agisse du mineur “leurre” qui a \u00e9t\u00e9 install\u00e9.<\/p>\n Le script shell, pour sa part, prend des mesures pr\u00e9paratoires pour reconfigurer limites strictes des ressources<\/a>emp\u00eacher la journalisation de l’historique des commandes, accepter tout le trafic entrant ou sortant, \u00e9num\u00e9rer les ressources mat\u00e9rielles et m\u00eame nettoyer les compromis ant\u00e9rieurs avant de commencer l’activit\u00e9.<\/p>\n Comme d’autres attaques li\u00e9es \u00e0 TeamTNT, la charge utile malveillante exploite \u00e9galement une technique appel\u00e9e piratage de l’\u00e9diteur de liens dynamique<\/a> masquer le processus du mineur via un objet partag\u00e9 ex\u00e9cutable<\/a> appel\u00e9 libprocesshider<\/a> qui utilise le LD_PRELOAD<\/a> variables d’environnement.<\/p>\n La persistance est obtenue par trois moyens diff\u00e9rents, dont l’un modifie le fichier .profile<\/a>pour s’assurer que le mineur continue de s’ex\u00e9cuter lors des red\u00e9marrages du syst\u00e8me.<\/p>\n D\u00e9couvrez les dangers cach\u00e9s des applications SaaS tierces<\/p>\n \u00cates-vous conscient des risques associ\u00e9s \u00e0 l’acc\u00e8s d’applications tierces aux applications SaaS de votre entreprise\u00a0? Rejoignez notre webinaire pour en savoir plus sur les types d’autorisations accord\u00e9es et sur la mani\u00e8re de minimiser les risques.<\/p>\n R\u00c9SERVEZ VOTRE PLACE<\/a><\/div>\n Les d\u00e9couvertes surviennent alors qu’un autre groupe de crypto-mineurs surnomm\u00e9 le 8220 Gang a \u00e9t\u00e9 observ\u00e9 en train d’utiliser un crypteur appel\u00e9 ScrubCrypt pour effectuer des op\u00e9rations de cryptojacking illicites.<\/p>\n De plus, des acteurs inconnus de la menace ont \u00e9t\u00e9 d\u00e9couverts ciblant l’infrastructure d’orchestrateur de conteneurs Kubernetes vuln\u00e9rable avec des API expos\u00e9es pour exploiter la crypto-monnaie Dero, marquant un changement par rapport \u00e0 Monero.<\/p>\n Le mois dernier, la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Morphisec a \u00e9galement fait la lumi\u00e8re sur une campagne de logiciels malveillants \u00e9vasifs qui exploite les vuln\u00e9rabilit\u00e9s ProxyShell des serveurs Microsoft Exchange pour supprimer une souche de crypto-mineur portant le nom de code ProxyShellMiner<\/a>.<\/p>\n “L’extraction de crypto-monnaie sur le r\u00e9seau d’une organisation peut entra\u00eener une d\u00e9gradation des performances du syst\u00e8me, une consommation d’\u00e9nergie accrue, une surchauffe de l’\u00e9quipement et peut arr\u00eater les services”, ont d\u00e9clar\u00e9 les chercheurs. “Cela permet aux acteurs de la menace d’acc\u00e9der \u00e0 des fins encore plus n\u00e9fastes.”<\/p>\n <\/p>\n![\"\"](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEhrio3gsQ3VaA1dm0i86Imm_gxdKQFoDxAOcDghNGZBJFd3vminT1LotY7lkyqjnBMrkRAOAfmkUScg8-zOwGxjpQX8gam6Yed-JzG6C8fPfZbUFRYexISBftSJJBSI2iWlH08HPQ2JESK--_iKCNXF-pQ0k599gAG00M7K0prgEdi9TPWwDM4FiplV\/s728-e365\/a.png\")
<\/div>\n