Ataque Vinculado a TraderTraitor Abusa del Proveedor de Terraform para Propagar Malware Multiplataforma

Resumen

El grupo TraderTraitor está llevando a cabo una campaña que utiliza un proveedor de Terraform troyanizado para distribuir malware multiplataforma. La cadena de infección se basa en un cargador Bash que selecciona cargas útiles para macOS, Linux y Windows antes de desplegar el malware FLATROOF y ROOFDECK. Estas herramientas se centran en el robo de datos, apuntando a credenciales de criptomonedas e información del navegador mientras mantienen comunicaciones de comando y control resilientes.

Investigación

Zscaler ThreatLabz descubrió un proveedor de Terraform basado en Go malicioso llamado terraform-provider-awsbeta_v1.0.0 que ejecuta código incrustado cuando se carga. Los investigadores identificaron una cadena de entrega en múltiples etapas que involucra archivos .woff disfrazados de fuentes y un descubrimiento de C2 por capas a través de metadatos de Pastebin y Nostr. El análisis también confirmó capacidades para eludir Gatekeeper de macOS y realizar inyección de procesos en sistemas Windows.

Mitigación

Las organizaciones deben restringir el uso de proveedores de Terraform no confiables y aplicar una validación estricta de los checksums de los proveedores. Se recomienda monitorear procesos secundarios inesperados lanzados por herramientas de desarrolladores y sistemas CI/CD. Los equipos de seguridad también deben restringir las conexiones salientes a dominios no verificados y monitorear actividad inusual de archivos dentro de directorios temporales para reducir la exposición.

Respuesta

Cuando se detecta actividad maliciosa, aísle inmediatamente las estaciones de trabajo y entornos CI/CD afectados para prevenir compromisos adicionales o movimientos laterales. Realice una investigación forense exhaustiva para determinar el alcance de la exfiltración de datos, centrándose en credenciales de navegador y carteras de criptomonedas. Rote todos los secretos, claves API y credenciales que puedan haber sido accesibles desde sistemas comprometidos.

Ejecución de Simulación

• Narrativa de Ataque y Comandos: Un atacante ha descargado con éxito una carga maliciosa (por ejemplo, payload.dmg) a través de un navegador web. Debido a Gatekeeper de macOS, el archivo es marcado con el atributo com.apple.quarantine . Para evitar que el usuario vea una advertencia de ‘Esta aplicación fue descargada de internet’ y para eludir las verificaciones de firma al ejecutarse, el atacante ejecuta un comando de shell para eliminar este atributo. El objetivo del atacante es ejecutar la carga útil silenciosamente para establecer un canal de Comando y Control (C2).

• Script de Prueba de Regresión:

  #!/bin/bash
  # Simulación: Eliminar atributo de cuarentena para eludir Gatekeeper
  
  # 1. Crear un archivo dummy para actuar como la carga 'maliciosa'
  TARGET_FILE="/tmp/malicious_payload.txt"
  touch "$TARGET_FILE"
  
  # 2. Simular el atributo de cuarentena presente (aplicándolo manualmente)
  # Nota: En un escenario real, esto sucede automáticamente a través de descargas de navegador
  xattr -w com.apple.quarantine "0081;65a12345;Chrome;" "$TARGET_FILE"
  echo "[+] Atributo de cuarentena simulado aplicado a $TARGET_FILE"
  
  # 3. Ejecutar el comando específico que busca la regla de detección
  echo "[!] Ejecutando comando de ataque..."
  /usr/bin/xattr -d com.apple.quarantine "$TARGET_FILE"
  
  # 4. Verificar si el atributo ha desaparecido
  if ! xattr -l "$TARGET_FILE" | grep -q "com.apple.quarantine"; then
    echo "[+] Éxito: Atributo de cuarentena removido. La detección debería haberse activado."
  else
    echo "[-] Falla: El atributo de cuarentena todavía existe."
  fi

• Comandos de Limpieza:

  # Eliminar el archivo dummy
  rm /tmp/malicious_payload.txt