TeamTNT僵尸网络在窃取Docker API和AWS凭据

发布时间:2021-01-11 10:29:00

  Trend Micro的研究人员发现,TeamTNT僵尸网络现在能够窃取Docker API登录和AWS凭据。

  Trend Micro的研究人员发现TeamTNT僵尸网络得到了改进,现在还可以窃取Docker的证书。

  TeamTNT僵尸网络是一种加密挖掘恶意软件操作,自2020年4月以来一直处于活动状态,目标是Docker安装。安全公司Trend Micro已经详细介绍了TeamTNT集团的活动,但在8月份,Cado security的专家发现,僵尸网络也能够针对配置错误的Kubernetes安装。



  感染运行在AWS服务器上的Docker和Kubernetes系统后,bot会扫描~/.AWS/凭据和~/.AWS/配置,这些路径是AWS CLI在未加密的文件中存储凭据和配置详细信息的路径。

  恶意软件部署XMRig挖掘工具来挖掘Monero加密货币。

  将最近的感染归因于TeamTNT是基于它的命令和控制url、一些字符串、加密密钥和trendmicro分析的样本上使用的语言。

  与过去类似的攻击相比,新的样本有了显著的改进。

  “这里使用的恶意shell脚本是在Bash中开发的。与过去的类似攻击相比,该脚本的开发技术更加完善;没有更多的无休止的代码行,而且示例编写得很好,并按具有描述性名称的函数进行组织。

  bot的新变种还能够使用一个例程收集dockerapi凭证,该例程只检查机器上的凭证文件,然后将它们过滤掉。新示例包括两个新例程。

  “第一个请求AWS元数据服务并尝试从那里获取凭据。另一个检查环境变量中的AWS凭据;如果存在这些凭据,则将它们上载到C&C服务器。

  新的攻击只针对集装箱平台。专家注意到,包含所有恶意样本的容器映像是最近创建的,下载总数为2000。

  “战术现在已经呈指数级发展。正在开发恶意脚本以窃取凭据等更敏感的数据。他们现在还配备了其他功能,如准备环境,以确保它将有足够的资源来开采,具有足够的隐蔽性,以保持开采尽可能长的时间,并确保离开后门,以防他们需要远程连接到他们的目标。

  “由于攻击现在也在寻找Docker凭据,因此仅实现API身份验证是不够的。系统管理员还应确保API不会公开,并且只能由需要的人访问。”

  【参考来源:securityaffairs.co;图源自网络,侵删】

最新发布
1
相约乌镇·共话安全丨天威诚信将亮相2021年世界互联网大会“互联网之光”博览会
2
《贵州省人力资源社会保障厅关于推动落实〈电子劳动合同订立指引〉有关工作的通知》政策解读
3
惊!91%的工业企业容易遭受网络攻击
4
9月1日,《电信和互联网用户个人信息保护规定》颁布8周年啦
5
来啦!沪上首份《电子劳动合同操作指引》抢先出炉
6
《中华人民共和国个人信息保护法》审议通过
7
国务院发布《关键信息基础设施安全保护条例》 9月1日起施行
8
规范“人脸识别”,为盗刷者戴上“紧箍咒”
9
谁说电信诈骗“雨你无瓜”?受骗对象90后占6成!
10
《网络安全审查办法(修订草案征求意见稿)》解读
相关推荐
划重点!《人民法院在线诉讼规则》正在施行中
《贵州省人力资源社会保障厅关于推动落实〈电子劳动合同订立指引〉有关工作的通知》政策解读
谁说电信诈骗“雨你无瓜”?受骗对象90后占6成!
来啦!沪上首份《电子劳动合同操作指引》抢先出炉
国务院发布《关键信息基础设施安全保护条例》 9月1日起施行
相约乌镇·共话安全丨天威诚信将亮相2021年世界互联网大会“互联网之光”博览会
规范“人脸识别”,为盗刷者戴上“紧箍咒”
《中华人民共和国个人信息保护法》审议通过
企业数字化转型,数据安全是关键!
《网络安全审查办法(修订草案征求意见稿)》解读