Les portes dérobées TraderTraitor ciblent des victimes hors du secteur des cryptomonnaies

Résumé

L’acteur menaçant TraderTraitor, aligné avec la Corée du Nord, mène des campagnes d’ingénierie sociale ciblant les ingénieurs DevOps et FinTech à travers de fausses interviews d’embauche. L’opération utilise des dépôts GitHub armés contenant des fichiers de verrouillage Terraform malveillants pour déployer des portes dérobées macOS suivies sous les noms FLATROOF et ROOFDECK. Les attaquants exploitent des registres de fournisseurs Terraform personnalisés pour exécuter des logiciels malveillants sur les postes de travail des développeurs.

Enquête

SentinelOne a identifié une nouvelle victime dans le secteur des services informatiques en Inde, distincte du compromis précédemment rapporté de LayerZero Labs. L’enquête a montré que les portes dérobées macOS sont restées dormantes pendant plusieurs semaines avant de commencer à signaler après qu’un développeur a ouvert un espace de travail malveillant dans le Cursor IDE. L’analyse a également révélé des capacités de collecte d’informations d’identification, de contournement de Gatekeeper, et de persistance via LaunchAgents.

Atténuation

Les organisations doivent établir des politiques restreignant l’utilisation des postes de travail d’entreprise pour les entretiens externes, en particulier pour les ingénieurs ayant un accès privilégié au cloud. Les développeurs doivent vérifier les domaines des fournisseurs Terraform et s’assurer qu’ils correspondent à des registres de confiance tels que registry.terraform.io. Les équipes de sécurité doivent également surveiller les binaires non signés s’exécutant depuis les répertoires personnels et les processus enfants inhabituels lancés par les IDE.

Réponse

Si une activité TraderTraitor est détectée, les points de terminaison des développeurs affectés doivent être isolés immédiatement et les informations d’identification cloud associées, y compris les informations d’identification AWS et GCP, doivent être révoquées. Les intervenants doivent rechercher des LaunchAgents non autorisés et des binaires macOS suspects dans les répertoires Bibliothèque utilisateur. L’activité GitHub et les clones de dépôt doivent également être examinés pour identifier l’accès initial et le mouvement latéral potentiel par compromission de la chaîne d’approvisionnement.

Exécution de simulation

• Narration de l’attaque & Commandes : Un adversaire a obtenu un accès initial à un poste de travail macOS. Pour établir une porte dérobée persistante et furtive, ils déploient une charge utile déguisée en utilitaire système légitime. Ils utilisent nohup pour s’assurer que le processus survit à la déconnexion de session et tentent de se faire passer pour SystemUpdate. L’attaquant utilise spécifiquement l’argument --type=renderer pour se fondre dans un paysage de nombreux processus de rendu web légitimes. Simultanément, ils tentent de détourner une session shell en injectant un script d’initialisation personnalisé pour capturer les informations d’identification.

• Script de test de régression :

  #!/bin/bash
  # Script de simulation TraderTraitor
  # Ce script imite les motifs de ligne de commande définis dans la règle de détection.
  
  echo "[+] Démarrage de la simulation TraderTraitor..."
  
  # 1. Simuler le camouflage SystemUpdate via nohup
  # Remarque : utilisation d'un chemin factice pour imiter les '...' dans la règle de détection
  echo "[+] Exécution du camouflage SystemUpdate..."
  nohup /tmp/SystemUpdate --type=renderer > /dev/null 2>&1 &
  
  # 2. Simuler le camouflage iSync via nohup
  echo "[+] Exécution du camouflage iSync..."
  nohup /tmp/iSync --type=renderer > /dev/null 2>&1 &
  
  # 3. Simuler une intégration shell suspecte
  echo "[+] Exécution d'une initialisation shell suspecte..."
  touch /tmp/shellIntegration-bash.sh
  bash --init-file /tmp/shellIntegration-bash.sh -c "echo 'Shell Injected'" &
  
  # 4. Simuler une connexion zsh suspecte
  echo "[+] Exécution d'une connexion zsh suspecte..."
  zsh -l -c "echo 'Suspicious Shell'"
  
  echo "[+] Commandes de simulation envoyées."

• Commandes de nettoyage :

  #!/bin/bash
  # Nettoyage de la simulation TraderTraitor
  echo "[+] Nettoyage des artefacts de simulation..."
  
  pkill -f "SystemUpdate"
  pkill -f "iSync"
  pkill -f "shellIntegration-bash.sh"
  pkill -f "zsh -l"
  
  rm /tmp/SystemUpdate
  rm /tmp/iSync
  rm /tmp/shellIntegration-bash.sh
  
  echo "[+] Nettoyage terminé."