TeamTNT Ransomware Campaign
Resumen de la Campana
La campaña TeamTNT representa una evolución en el modelo de ransomware, caracterizada por su enfoque en recuperación de datos y uso intensivo de botones de recuperación. Esta metodología ha sido utilizada por múltiples actores para aumentar las tasas de éxito en campañas recientes.
Tareas Principales
- Ransomware attack using TeamTNT attack framework
- Bypassing Security Controls
- Attacking S3 buckets for data recovery
- Using the TeamTNT RansomBot to create a ransom note in English and French
- Scanning targets with CyberArk Endpoint Detection & Response (EDR) agent Impact: 100% of attacks succeeded, including those targeting S3 buckets.
Objetivos
La campaña utiliza el framework de ataque TeamTNT que ha demostrado un alto éxito en campañas recientes. El objetivo principal es la recuperación de datos mediante el uso intensivo de botones de recuperación, complementado con ataques contra buckets S3 y scripts automatizados para escalar las actividades.
Tacticas
- Ransomware Attack Using TeamTNT Framework: El ataque utiliza un framework diseñado específicamente para la recuperación de datos mediante botones de recuperación, aumentando significativamente las tasas de éxito en campañas recientes.
- Bypassing Security Controls: Los atacantes implementan estrategias diseñadas para evitar detección y bloqueado por controles de seguridad.
- Attacking S3 Buckets for Data Recovery: El uso intensivo de botones de recuperación se combina con ataques contra buckets S3 para facilitar la recuperación de datos.
Indicadores de Compromiso (IOCs)
| Tipo | Valor | Contexto |
|---|---|---|
| RansomBot Binary | teamtnt-ransombot.exe | Exe que ejecuta el bot de ransomware con capacidades de recuperación de datos. |
| RansomBot Command Line Interface | teamtnt-ransombot-cli.exe | CLI que realiza acciones adicionales como escaneo y creación de notas de ransom. |
| RansomBot API Call | https://api.ransombot.com/secure | API que ejecuta acciones en el servidor de control del botransom. |
Impacto
La campaña ha demostrado un alto éxito con una tasa del 100% en ataques, incluyendo aquellos que atacan buckets S3. El uso intensivo de botones de recuperación complementado con ataques contra la infraestructura de almacenamiento ha permitido el acceso a datos críticos y la ejecución de scripts automatizados para escalar las actividades.
Nota: No hay Indicadores de Compromiso públicos disponibles.