Campaña roba credenciales de AWS se esparce a Azure y GCP

Campaña de robo de credenciales que ha afectado los últimos meses a los entornos de Amazon web Services (AWS) se ha esparcido a otros servicios en la nube como Azure y Google Cloud Platform (GCP). Según las herramientas observadas en las campañas, estas has sido asociadas al grupo de actores maliciosos denominados “TeamTNT”.

Según observaciones realizadas por los investigadores de Permiso, la campaña contra estos entornos habría iniciado mediados de junio de 2023, sin embargo, algunas características distintivas en los scripts de Shell podrían vincular esta reciente campaña, a otras campañas de robo de credenciales de AWS mediante vulnerabilidades no parchadas de los servicios de Jupyter Notebook, en diciembre de 2022.

Los investigadores se percataron que los ataques de las campañas que actualmente se presentan contra Azure y GCP tenían similitudes con la campaña contra AWS, sin embargo, en palabras de Alex Delamotte, investigador de sentinelone, las capacidades de Azure y GCP son muy incipientes y están menos desarrolladas que las herramientas de AWS.

Si bien, las herramientas utilizadas en ambas campañas indican tener una misma raíz, las herramientas utilizadas en las campañas recientes, demuestran una gran cantidad de actualizaciones, de cara a su funcionamiento. Como se ha mencionado con anterioridad, inicialmente estas habrían sido desarrolladas con AWS como objetivo, sin embargo, en las recientes campañas se han agregado funciones para los entornos de Azure y GCP.

Instancias de Docker expuestas

TeamTNT es un grupo mayormente conocido por llevar a cabo ataques a servicios expuestos, en la nube, y se basa en la explotación de vulnerabilidades y configuraciones erróneas en dichos servicios. Si bien, en un inicio, el grupo de actores maliciosos se centraba en campañas de minería de criptomonedas, recientemente sus campañas se han expandido a robo de datos y despliegues de backdoors, como se puede observar en sus ultimas actividades.

Según se ha podido observar en las actividades recientes de grupo, estos estarían aprovechándose de servicios Docker expuestos. Mediante la utilización de scripts de Shell que poseen la cualidad de reconocer el entorno en que se encuentra, perfilar los sistemas, buscar archivos de credenciales, con la finalidad de filtrarlos.

Los scripts en cuestión contienen a su vez, una función para la recopilación de varios detalles del entorno donde el malware se encuentra, lo que probablemente se utilice con la finalidad de determinar su existen otros servicios de gran valor en el sistema, para ataques posteriores.

El set de herramientas utilizados en estas campañas provee al atacante con la capacidad de enumerar la información del entorno de servicio, independientemente del proveedor de servicios en la nube subyacente, según lo observado, la única automatización que vista fue para Azure o GCP la cual estaba relacionada con la recolección de credenciales.

Los hallazgos del grupo de investigación de sentinelOne se suman a investigaciones paralelas que muestran actividad maliciosa dirigida a las API públicas de Docker y JupyterLab. Campañas que también son asociadas al grupo de actores maliciosos “TeamTNT”.

Entre los hallazgos, también se puede resaltar el hecho de que los actores maliciosos se encontraban preparando un agresivo gusano en la nube, el cual posee la capacidad de desplegarse en entornos AWS, con el objetivo de facilitar el robo de credenciales de dicho servicio, así como llevar a cabo acciones de secuetro de recursos, y el despliegue del backdoor denominado “Tsunami”.

El grupo de actores maliciosos también se ha visto utilizando UPX-packed el cual es un binario ELF el cual tiene la función de votar y ejecutar scripts de Shell adicionales, con funciones como la de escanear un rango especificado por el atacante y propagarse a otros objetivos vulnerables.

Este mecanismo de propagación de gusanos tiene la finalidad de buscar sistemas que se ajusten a un user-agent específico, de la versión de Docker, las cuales podrían estar alojadas a través de azure o GCP. A la vez, otros informes detallan que el grupo de actores maliciosos se encuentran explotando los servicios de Jupyter de cara al público, basándose en los mismos conceptos.

Es importante señalar que los ataques como los perpetrados contra entornos de AWS, implican el uso de marcos de explotación de AWS conocidos, como lo es “Pacu” el cual es una herramienta ampliamente utilizada por quipos de red team para atacar AWS. A su vez, los investigadores también señalan que las organizaciones que utilizan los servicios de Azure y GCP deben asumir que los ataques contra estos entornos implicaran macros similares.

Indicadores de Compromiso