Un acteur malveillant a \u00e9t\u00e9 li\u00e9 \u00e0 une campagne de vol d’informations d’identification dans le cloud en juin 2023, ax\u00e9e sur les services Azure et Google Cloud Platform (GCP), marquant l’expansion de l’adversaire dans le ciblage au-del\u00e0 d’Amazon Web Services (AWS).<\/p>\n
Les d\u00e9couvertes proviennent de SentinelleUn<\/a> et Permis<\/a>qui a d\u00e9clar\u00e9 que “les campagnes partagent des similitudes avec les outils attribu\u00e9s \u00e0 la c\u00e9l\u00e8bre \u00e9quipe de cryptojacking TeamTNT”, bien qu’il ait soulign\u00e9 que “l’attribution reste difficile avec les outils bas\u00e9s sur des scripts”.<\/p>\n Ils chevauchent \u00e9galement une campagne TeamTNT en cours divulgu\u00e9e par Aqua appel\u00e9e Silentbob qui exploite des services cloud mal configur\u00e9s pour \u00e9liminer les logiciels malveillants dans le cadre de ce qui est consid\u00e9r\u00e9 comme un effort de test, tout en reliant les attaques SCARLETEEL \u00e0 l’acteur de la menace, citant des points communs d’infrastructure.<\/p>\n “TeamTNT analyse les informations d’identification dans plusieurs environnements cloud, y compris AWS, Azure et GCP”, a not\u00e9 Aqua.<\/p>\n Les attaques, qui ciblent les instances Docker accessibles au public pour d\u00e9ployer un module de propagation semblable \u00e0 un ver, sont la continuation d’un ensemble d’intrusions qui pr\u00e9c\u00e9demment cibl\u00e9<\/a> Notebooks Jupyter en d\u00e9cembre 2022.<\/p>\n Jusqu’\u00e0 huit versions incr\u00e9mentielles du script de collecte d’informations d’identification ont \u00e9t\u00e9 d\u00e9couvertes entre le 15 juin 2023 et le 11 juillet 2023, indiquant une campagne en \u00e9volution active.<\/p>\n Les nouvelles versions du logiciel malveillant sont con\u00e7ues pour recueillir les informations d’identification d’AWS, Azure, Google Cloud Platform, Censys, Docker, Filezilla, Git, Grafana, Kubernetes, Linux, Ngrok, PostgreSQL, Redis, S3QL et SMB. Les informations d’identification collect\u00e9es sont ensuite exfiltr\u00e9es vers un serveur distant sous le contr\u00f4le de l’auteur de la menace.<\/p>\n Bouclier contre les menaces internes\u00a0: ma\u00eetriser la gestion de la posture de s\u00e9curit\u00e9 SaaS<\/p>\n <\/a><\/p>\n Inquiet des menaces internes ? Nous avons ce qu’il vous faut! Rejoignez ce webinaire pour explorer les strat\u00e9gies pratiques et les secrets de la s\u00e9curit\u00e9 proactive avec la gestion de la posture de s\u00e9curit\u00e9 SaaS.<\/p>\n Joignez aujourd’hui<\/a><\/section>\n SentinelOne a d\u00e9clar\u00e9 que la logique de collecte des informations d’identification et les fichiers cibl\u00e9s pr\u00e9sentent des similitudes avec un Campagne de ciblage Kubelet<\/a> entrepris par TeamTNT en septembre 2022. <\/p>\n Parall\u00e8lement au malware de script shell, l’acteur de la menace a \u00e9galement \u00e9t\u00e9 observ\u00e9 en train de distribuer un binaire ELF bas\u00e9 sur Golang qui agit comme un scanner pour propager le malware aux cibles vuln\u00e9rables. Le binaire supprime en outre un utilitaire d’analyse de r\u00e9seau Golang appel\u00e9 Zgrab.<\/p>\n “Cette campagne d\u00e9montre l’\u00e9volution d’un acteur chevronn\u00e9 du cloud familiaris\u00e9 avec de nombreuses technologies”, ont d\u00e9clar\u00e9 les chercheurs en s\u00e9curit\u00e9 Alex Delamotte, Ian Ahl et Daniel Bohannon. “L’attention m\u00e9ticuleuse port\u00e9e aux d\u00e9tails indique que l’acteur a clairement v\u00e9cu de nombreux essais et erreurs.”<\/p>\n “Cet acteur ajuste et am\u00e9liore activement ses outils. Sur la base des ajustements observ\u00e9s au cours des derni\u00e8res semaines, l’acteur se pr\u00e9pare probablement pour des campagnes \u00e0 plus grande \u00e9chelle.”<\/p>\n <\/p>\n![\"Azure](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/07\/1689369404_167_La-campagne-Cloud-Credential-Stealing-de-TeamTNT-cible-desormais-Azure.jpg\" "\\"Azure")
<\/div>\n