Pas moins de 196 h\u00f4tes ont \u00e9t\u00e9 infect\u00e9s dans le cadre d’une campagne cloud agressive mont\u00e9e par le groupe TeamTNT appel\u00e9 Silentbob<\/strong>.<\/p>\n “Le botnet g\u00e9r\u00e9 par TeamTNT a jet\u00e9 son d\u00e9volu sur les environnements Docker et Kubernetes, les serveurs Redis, les bases de donn\u00e9es Postgres, les clusters Hadoop, les serveurs Tomcat et Nginx, les applications Weave Scope, SSH et Jupyter”, ont d\u00e9clar\u00e9 les chercheurs en s\u00e9curit\u00e9 Aqua Ofek Itach et Assaf Morag. a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n “Cette fois, l’accent semble \u00eatre mis davantage sur l’infection des syst\u00e8mes et le test du botnet, plut\u00f4t que sur le d\u00e9ploiement de cryptomineurs \u00e0 des fins lucratives.”<\/p>\n Le d\u00e9veloppement arrive une semaine apr\u00e8s que la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 cloud a d\u00e9taill\u00e9 un ensemble d’intrusions li\u00e9 au groupe TeamTNT qui cible les API JupyterLab et Docker expos\u00e9es pour d\u00e9ployer le malware Tsunami et d\u00e9tourner les ressources syst\u00e8me pour ex\u00e9cuter un mineur de crypto-monnaie.<\/p>\n Les derni\u00e8res d\u00e9couvertes sugg\u00e8rent une campagne plus large et l’utilisation d’une infrastructure d’attaque plus importante qu’on ne le pensait auparavant, y compris divers scripts shell pour voler des informations d’identification, d\u00e9ployer des portes d\u00e9rob\u00e9es SSH, t\u00e9l\u00e9charger des charges utiles suppl\u00e9mentaires et supprimer des outils l\u00e9gitimes tels que kubectl<\/a>, Pa\u00e7u<\/a>et Pirates<\/a> effectuer une reconnaissance de l’environnement cloud.<\/p>\n Les cha\u00eenes d’attaque sont r\u00e9alis\u00e9es gr\u00e2ce au d\u00e9ploiement d’images de conteneurs escrocs h\u00e9berg\u00e9es sur Docker Hub, qui sont con\u00e7ues pour analyser Internet \u00e0 la recherche d’instances mal configur\u00e9es et infecter les victimes nouvellement identifi\u00e9es avec Tsunami et un script de ver pour coopter plus de machines dans un botnet.<\/p>\n “Ce botnet est particuli\u00e8rement agressif, prolif\u00e8re rapidement dans le cloud et cible un large \u00e9ventail de services et d’applications dans le cycle de vie du d\u00e9veloppement logiciel (SDLC)”, ont d\u00e9clar\u00e9 les chercheurs. “Il fonctionne \u00e0 une vitesse impressionnante, d\u00e9montrant une capacit\u00e9 de num\u00e9risation remarquable.”<\/p>\n Tsunami utilise le chat relais Internet (CRI<\/a>) pour se connecter au serveur de commande et de contr\u00f4le (C2), qui envoie ensuite des commandes \u00e0 tous les h\u00f4tes infect\u00e9s sous son contr\u00f4le, permettant ainsi \u00e0 l’auteur de la menace de maintenir un acc\u00e8s par porte d\u00e9rob\u00e9e.<\/p>\n De plus, l’ex\u00e9cution du cryptominage est masqu\u00e9e \u00e0 l’aide d’un rootkit appel\u00e9 prochider pour l’emp\u00eacher d’\u00eatre d\u00e9tect\u00e9 lorsqu’un commande ps<\/a> est ex\u00e9cut\u00e9 sur le syst\u00e8me pirat\u00e9 pour r\u00e9cup\u00e9rer la liste des processus actifs.<\/p>\n Bouclier contre les menaces internes\u00a0: ma\u00eetriser la gestion de la posture de s\u00e9curit\u00e9 SaaS<\/p>\n <\/a><\/p>\n Inquiet des menaces internes ? Nous avons ce qu’il vous faut! Rejoignez ce webinaire pour explorer les strat\u00e9gies pratiques et les secrets de la s\u00e9curit\u00e9 proactive avec la gestion de la posture de s\u00e9curit\u00e9 SaaS.<\/p>\n Joignez aujourd’hui<\/a><\/section>\n “TeamTNT analyse les informations d’identification dans plusieurs environnements cloud, y compris AWS, Azure et GCP”, ont d\u00e9clar\u00e9 les chercheurs. C’est la derni\u00e8re preuve que les acteurs de la menace am\u00e9liorent leur savoir-faire.<\/p>\n “Ils ne recherchent pas seulement des informations d’identification g\u00e9n\u00e9rales, mais \u00e9galement des applications sp\u00e9cifiques telles que Grafana, Kubernetes, Docker Compose, Git access et NPM. De plus, ils recherchent des bases de donn\u00e9es et des syst\u00e8mes de stockage tels que Postgres, AWS S3, Filezilla et SQLite. “<\/p>\n Le d\u00e9veloppement intervient quelques jours apr\u00e8s que Sysdig a divulgu\u00e9 une nouvelle attaque mont\u00e9e par SCARLETEEL pour compromettre l’infrastructure AWS dans le but de mener des vols de donn\u00e9es et de distribuer des mineurs de crypto-monnaie sur des syst\u00e8mes compromis.<\/p>\n Bien qu’il y ait des liens circonstanciels reliant SCARLETEEL \u00e0 TeamTNT, Aqua a d\u00e9clar\u00e9 \u00e0 The Hacker News que l’ensemble d’intrusion est en fait li\u00e9 \u00e0 l’acteur de la menace.<\/p>\n “Il s’agit d’une autre campagne de TeamTNT”, a d\u00e9clar\u00e9 Morag, analyste principal des donn\u00e9es au sein de l’\u00e9quipe de recherche d’Aqua Nautilus. “L’adresse IP SCARLETEEL, 45.9.148[.]221<\/a>, a \u00e9t\u00e9 utilis\u00e9 il y a quelques jours sur le serveur C2 du canal IRC de TeamTNT. Les scripts sont tr\u00e8s similaires et les TTP sont les m\u00eames. Il semble que TeamTNT n’ait jamais cess\u00e9 d’attaquer. S’ils ont un jour pris leur retraite, ce n’est que pour un bref instant.”<\/p>\n <\/p>\n![\"Botnet](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/07\/1689277239_247_Le-botnet-Silentbob-de-TeamTNT-infecte-196-hotes-lors-dune.jpg\" "\\"Botnet")
<\/div>\n