Εγκληματική ομάδα TeamTNT
Το TeamTNT είναι το όνομα που δίνεται σε μια ομάδα εγκληματικότητας στον κυβερνοχώρο που ειδικεύεται σε λειτουργίες εξόρυξης κρυπτονομισμάτων. Αν και δεν υπήρχαν πολλά στοιχεία για να τους διαφοροποιήσουν από τις υπόλοιπες ομάδες χάκερ που πραγματοποιούσαν αυτού του είδους τις επιθέσεις αρχικά, φαίνεται ότι η TeamTNT εξελίσσει τις δραστηριότητές της και έχει πλέον αναφερθεί ότι μπορεί να συλλέγει διαπιστευτήρια Amazon Web Services (AWS) από το μολυσμένους διακομιστές.
Όταν το TeamTNT τράβηξε για πρώτη φορά την προσοχή των ερευνητών στον κυβερνοχώρο, στόχευε συστήματα Docker που είχαν ρυθμιστεί λανθασμένα κυρίως και είχαν API επιπέδου διαχείρισης χωρίς προστασία με κωδικό πρόσβασης ανοιχτά στο Διαδίκτυο. Μόλις εισέλθουν στο δίκτυο, οι χάκερ θα αναπτύξουν διακομιστές που θα εκτελούσαν λειτουργίες DDoS και εξόρυξης κρυπτονομισμάτων.
Η εγκληματική ομάδα TeamTNT εξελίσσεται
Από τότε, ωστόσο, οι χάκερ κατάφεραν να επεκτείνουν τις δραστηριότητές τους διακλαδώνοντας και προσθέτοντας εγκαταστάσεις Kubernetes ως πιθανούς στόχους. Το πιο σημαντικό, σύμφωνα με τους ερευνητές κυβερνοασφάλειας της Cado Security, η TeamTNT έχει συμπεριλάβει έναν σαρωτή που ελέγχει τους μολυσμένους διακομιστές και συλλέγει διαπιστευτήρια AWS. Η ομάδα χάκερ αναζητά τα αρχεία '/.aws/credentials' και '/.aws/config', συγκεκριμένα, τα αντιγράφει και στέλνει και τα δύο αρχεία στον διακομιστή Command-and-Control (C2) που χρησιμοποιείται για την καμπάνια επίθεσης. Θα πρέπει να σημειωθεί ότι και τα δύο αρχεία είναι κρυπτογραφημένα και αποθηκεύουν διαπιστευτήρια για την υποδομή AWS σε μορφή απλού κειμένου.
Αν και φαίνεται ότι η TeamTNT δεν έχει αρχίσει ακόμη να εκμεταλλεύεται την πρόσβασή της στα διαπιστευτήρια AWS, θα μπορούσε να αρχίσει να το κάνει ανά πάσα στιγμή, καθώς αντιπροσωπεύει μια τεράστια χρηματική ευκαιρία για αυτούς. Οι χάκερ θα μπορούσαν απλώς να πουλήσουν τα συλλεχθέντα διαπιστευτήρια για άμεσα κέρδη ή να τα χρησιμοποιήσουν για να επεκτείνουν σημαντικά τις εγκληματικές δραστηριότητές τους αξιοποιώντας την πιθανή πρόσβαση στα συμπλέγματα AWS EC2 και εγκαθιστώντας απευθείας κακόβουλο λογισμικό εξόρυξης κρυπτονομισμάτων.
