0 
0 As ameaças contra a infraestrutura nativa da nuvem estão aumentando, principalmente porque os invasores visam recursos de nuvem e contêiner para impulsionar suas operações ilícitas de criptomineração. Na última reviravolta, os cibercriminosos estão causando estragos nos recursos da nuvem para propagar e administrar empresas de criptojacking em esquemas caros que custam às vítimas cerca de US$ 50 em recursos de nuvem para cada US$ 1 em criptomoeda que os bandidos extraem dessas reservas de computação.
Isso está de acordo com um novo relatório divulgado hoje pela Sysdig, que mostra que, embora os bandidos ataquem indiscriminadamente qualquer nuvem fraca ou recursos de contêiner que possam colocar as mãos em esquemas de criptomineração lucrativos, eles também são inteligentemente estratégicos sobre isso.
De fato, muitos dos ataques mais engenhosos da cadeia de suprimentos de software são em grande parte projetados para gerar criptomineradores por meio de imagens de contêiner infectadas. Os invasores não apenas aproveitam as dependências de código-fonte mais comumente pensadas em ataques ofensivos à cadeia de suprimentos – eles também aproveitam imagens de contêineres maliciosos como um veículo de ataque eficaz, de acordo com o ” Relatório de ameaças nativas da nuvem de 2022 ” da Sysdig .
Os cibercriminosos estão aproveitando a tendência da comunidade de desenvolvimento de compartilhar código e projetos de código aberto por meio de imagens de contêiner pré-fabricadas por meio de registros de contêiner como o Docker Hub. As imagens de contêiner têm todo o software necessário instalado e configurado em uma carga de trabalho fácil de implantar. Embora isso economize muito tempo para os desenvolvedores, também abre um caminho para os invasores criarem imagens com cargas maliciosas incorporadas e, em seguida, semear plataformas como o DockerHub com seus produtos maliciosos. Basta que um desenvolvedor execute uma solicitação pull do Docker da plataforma para executar essa imagem maliciosa. Além disso, o download e a instalação do Docker Hub são opacos, tornando ainda mais difícil identificar possíveis problemas.
“Está claro que as imagens de contêineres se tornaram um vetor de ataque real, em vez de um risco teórico”, explicou o relatório, para o qual a Equipe de Pesquisa de Ameaças da Sysdig (TRT) passou por um processo de um mês de peneirar imagens de contêineres públicas enviadas por usuários em todo o mundo para DockerHub para encontrar instâncias maliciosas. “Os métodos empregados por agentes mal-intencionados descritos pelo Sysdig TRT são direcionados especificamente para cargas de trabalho na nuvem e em contêineres.”
A busca da equipe trouxe à tona mais de 1.600 imagens maliciosas contendo criptomineradores, backdoors e outros malwares desagradáveis disfarçados de software popular legítimo. Os criptomineradores foram de longe os mais prevalentes, representando 36% das amostras.
“As equipes de segurança não podem mais se iludir com a ideia de que ‘os contêineres são muito novos ou muito efêmeros para que os agentes de ameaças se preocupem'”, diz Stefano Chierici, pesquisador sênior de segurança da Sysdig e coautor do relatório. “Os invasores estão na nuvem e estão recebendo dinheiro real. A alta prevalência da atividade de criptojacking é atribuível ao baixo risco e alta recompensa para os criminosos.”
Equipe TNT e Quimera
Como parte do relatório, Chierici e seus colegas também fizeram uma análise técnica aprofundada das táticas, técnicas e procedimentos (TTPs) do grupo de ameaças TeamTNT. Ativo desde 2019, o grupo, de acordo com algumas fontes, comprometeu mais de 10.000 dispositivos de nuvem e contêiner durante uma de suas campanhas de ataque mais prevalentes, Chimera. É mais conhecido pela atividade de worm de cryptojacking e, de acordo com o relatório, o TeamTNT continua a refinar seus scripts e seus TTPs em 2022. Por exemplo, agora ele conecta scripts ao serviço de metadados da Nuvem AWS para aproveitar as credenciais associadas a uma instância do EC2 e obter acesso a outros recursos vinculados a uma instância comprometida.
“Se houver permissões excessivas associadas a essas credenciais, o invasor poderá obter ainda mais acesso. disse o relatório.
Como parte de sua análise, a equipe investigou várias carteiras XMR usadas pelo TeamTNT durante as campanhas de mineração para descobrir o impacto financeiro do cryptojacking.
Utilizando a análise técnica das práticas operacionais do grupo de ameaças durante a operação Chimera, a Sysdig conseguiu descobrir que o adversário custou às vítimas US$ 11.000 em uma única instância AWS EC2 para cada XMR extraído. As carteiras que a equipe recuperou totalizaram cerca de 40 XMR, o que significa que os invasores aumentaram uma conta de nuvem de quase US$ 430.000 para minerar essas moedas.
Usando a avaliação de moedas do início deste ano, o relatório estimou que o valor dessas moedas é de cerca de US$ 8.100, com o verso do envelope mostrando que, para cada dólar que os bandidos ganham, custam às vítimas pelo menos US$ 53 apenas em contas de nuvem.
FONTE: DARK READING