Pesquisa da Trend Micro revela atividades do grupo TeamTNT

Levantamento mostra as ferramentas e técnicas utilizadas e o impacto das atividades maliciosas do grupo

A Trend Micro Brasil, líder mundial em soluções de cibersegurança, realizou uma pesquisa detalhada sobre o TeamTNT, um dos mais persistentes grupos de hackers maliciosos, que iniciou uma série de campanhas em 2020 e início de 2021. A maioria dessas campanhas — embora variando as ferramentas, técnicas e finalidade — tinha como alvo ambientes em nuvem.

O TeamTNT vem atacando de alguma forma desde 2011, mas foi só em 2020 que o grupo começou a chamar a atenção. Em abril do ano passado, lançou uma campanha de curta duração com o tema Covid-19, escolhendo palavras relacionadas à pandemia para seus URLs de ataque. “Um mês depois, a Trend Micro mapeou uma entrada sobre como o TeamTNT estava mirando portas de daemon abertas do Docker, para distribuir a mineração de criptomoedas. O grupo também provocou outra campanha, no final de 2020, implantando o TNTbotinger, um bot de IRC (Internet Relay Chat) com recursos de negação de serviço distribuído (DDoS). Este ano, focou ainda mais na nuvem, abrangendo diferentes serviços e softwares baseados em cloud”, comenta Rodrigo Garcia, diretor de Vendas da Trend Micro.

Rotinas de infecção e cargas:

As rotinas de infecção do TeamTNT geralmente seguem um padrão, no qual o grupo faz o reconhecimento usando seu scanner para escolher as vítimas adequadas. Depois de reduzir seus alvos, ele verifica se há configurações erradas e outras falhas de segurança que podem ser exploradas, tais como:

Instâncias não seguras do Redis;
Vulnerabilidades de dispositivos de Internet das Coisas (IoT);
APIs de Docker expostas;
Credenciais vazadas;
Dispositivos acessíveis via Secure Shell (SSH).

Ao encontrar um sistema com falhas de segurança exploráveis, ele começa a entregar suas cargas, que incluem:

Roubo de credenciais;
Mineração de criptomoedas;
Bots IRC;
Scanners de redes locais;
Conchas reversas/vinculadas

O roubo de credenciais é muitas vezes um dos objetivos do grupo, se não o principal. O TeamTNT utiliza uma série de técnicas em suas rotinas de captação de credenciais, com scritps próprios que contêm funções projetadas para procurar credenciais de serviços e softwares específicos. Também implementa mecanismos de persistência em algumas de suas expedições, garantindo que o usuário selecionado esteja configurado para ser acessado por SSH. Isso é feito para criar um método de retorno ao sistema após a infecção. Em muitos casos, os invasores implantam suas próprios chaves públicas SSH.

O uso crescente de serviços, software e infraestrutura baseados em cloud tornou a nuvem um alvo atraente para grupos como o TeamTNT. Um roubo bem-sucedido de credenciais em nuvem ou uma rotina de mineração de criptomoedas acaba infectando todo o sistema e pode ter consequências de longo alcance em uma organização - especialmente em termos de interrupção operacional e até mesmo danos à reputação.

“Nosso trabalho acompanhando as atividades do TeamTNT é para garantir um olhar mais atento para um grupo de hackers focado na nuvem. Temos como objetivo ajudar as empresas a entender como o grupo realiza suas atividades e oferecer insights e recomendações para evitar os ciberataques, finaliza Rodrigo Garcia.
Veja uma cópia completa do relatório, clicando aquihttps://www.trendmicro.com/vinfo/br/security/news/cybercrime-and-digital-threats/teamtnt-activities-probed

Sobre a Trend Micro

A Trend Micro, líder global em cibersegurança, ajuda a tornar o mundo mais seguro quando o assunto é troca de informações digitais. Com décadas de experiência em segurança da informação, pesquisa global de ameaças e inovação contínua, a Trend Micro protege centenas de milhares de organizações e milhões de indivíduos com soluções para redes, dispositivos, sistemas em nuvem e endpoints. As plataformas da Trend Micro oferecem uma gama poderosa de técnicas avançadas de defesa contra ameaças otimizadas para ambientes Google, Microsoft e Amazon, possibilitando respostas mais rápidas e efetivas aos riscos cibernéticos. Com 7.000 colaboradores em 65 países, a Trend Micro permite que as organizações protejam e simplifiquem o seu mundo conectado.

Site: https://www.trendmicro.com

Twitter: @TrendmicroBR

Linkedin: https://www.linkedin.com/company/trend-micro/