Атака, пов’язана з TraderTraitor, зловживає провайдером Terraform для поширення мультиплатформного шкідливого ПЗ

Резюме

Група TraderTraitor проводить кампанію з використанням троянізованого провайдера Terraform для розповсюдження шкідливого програмного забезпечення крос-платформено. Ланцюжок інфекції покладається на завантажувач Bash, який обирає корисні навантаження для macOS, Linux та Windows перед розгортанням програм FLATROOF та ROOFDECK. Ці інструменти зосереджені на крадіжці даних, націлюючись на криптовалютні облікові дані та інформацію браузера, одночасно підтримуючи стійкі комунікації командування та управління.

Розслідування

Zscaler ThreatLabz виявила шкідливий Go-провайдер Terraform під назвою terraform-provider-awsbeta_v1.0.0, який виконує вбудований код при завантаженні. Дослідники ідентифікували мультиступеневий ланцюжок розповсюдження із використанням файлів .woff, замаскованих під шрифти, та багатошарове виявлення C2 через Pastebin та метадані Nostr. Аналіз також підтвердив можливості обходу macOS Gatekeeper та виконання ін’єкції процесів у Windows-системах.

Зменшення ризику

Організації повинні обмежити використання неперевірених провайдерів Terraform та забезпечити сувалу валідацію контрольних сум провайдерів. Рекомендується моніторити несподівані дочірні процеси, запущені інструментами розробника та системами CI/CD. Команди безпеки також повинні обмежити вихідні з’єднання до неперевірених доменів та моніторити незвичну активність файлів у тимчасових каталогах для зменшення ризику.

Реакція

Коли виявлено шкідливу активність, негайно ізолюйте постраждалі робочі станції розробників та середовища CI/CD, щоб запобігти подальшим компрометаціям або горизонтальному руху. Проведіть всебічне судово-медичне розслідування для визначення масштабу витоку даних, зосередившись на облікових даних браузера та криптовалютних гаманців. Заверніть усі секрети, API-ключі та облікові дані, які могли бути доступними з компрометованих систем.

Виконання симуляції

• Опис атаки та команди: Зловмисник успішно завантажив шкідливе навантаження (наприклад, payload.dmg) через веб-браузер. Через macOS Gatekeeper, файл позначається атрибутом com.apple.quarantine . Щоб попередити користувача про те, що “Цей застосунок був завантажений з Інтернету” та обійти перевірки підпису при виконанні, зловмисник виконує команду оболонки для зняття цього атрибута. Мета зловмисника – безшумно запустити навантаження для встановлення каналу командування та управління (C2).

• Сценарій тестування регресії:

  #!/bin/bash
  # Симуляція: видалення атрибута карантину для обходу Gatekeeper
  
  # 1. Створіть пустий файл, який діятиме як "шкідливе" навантаження
  TARGET_FILE="/tmp/malicious_payload.txt"
  touch "$TARGET_FILE"
  
  # 2. Симулюйте наявність атрибута карантину (застосуйте його вручну)
  # Примітка: у реальній ситуації це відбувається автоматично через завантаження браузером
  xattr -w com.apple.quarantine "0081;65a12345;Chrome;" "$TARGET_FILE"
  echo "[+] Симульовано застосування атрибута карантину до $TARGET_FILE"
  
  # 3. Виконайте конкретну команду, на яку спрацьовує правило детекції
  echo "[!] Виконання команди атаки..."
  /usr/bin/xattr -d com.apple.quarantine "$TARGET_FILE"
  
  # 4. Перевірте, чи атрибут зник
  if ! xattr -l "$TARGET_FILE" | grep -q "com.apple.quarantine"; then
    echo "[+] Успіх: атрибут карантину видалено. Детекція повинна була спрацювати."
  else
    echo "[-] Невдача: атрибут карантину досі існує."
  fi

• Команди очищення:

  # Видалити пустий файл
  rm /tmp/malicious_payload.txt