Ataque Ligado ao TraderTraitor Abusa do Provedor Terraform para Espalhar Malware Multiplataforma

Resumo

O grupo TraderTraitor está conduzindo uma campanha que utiliza um provedor Terraform trojanizado para distribuir malware multiplataforma. A cadeia de infecção depende de um carregador Bash que seleciona cargas úteis para macOS, Linux e Windows antes de implantar os malwares FLATROOF e ROOFDECK. Essas ferramentas focam no roubo de dados, visando credenciais de criptomoedas e informações de navegadores, enquanto mantêm comunicações de comando e controle resilientes.

Investigação

A Zscaler ThreatLabz descobriu um provedor Terraform malicioso baseado em Go chamado terraform-provider-awsbeta_v1.0.0, que executa código embutido quando carregado. Os pesquisadores identificaram uma cadeia de entrega em múltiplos estágios envolvendo arquivos .woff disfarçados como fontes e descoberta em camadas de C2 através de metadados do Pastebin e Nostr. A análise também confirmou capacidades de contornar o macOS Gatekeeper e realizar injeção de processos em sistemas Windows.

Mitigação

As organizações devem restringir o uso de provedores Terraform não confiáveis e reforçar a validação rigorosa de checksums dos provedores. Recomenda-se monitorar processos filhos inesperados lançados por ferramentas de desenvolvedores e sistemas CI/CD. As equipes de segurança também devem restringir conexões de saída para domínios não verificados e monitorar atividades de arquivos incomuns dentro de diretórios temporários para reduzir a exposição.

Resposta

Quando detectar atividades maliciosas, isole imediatamente as estações de trabalho de desenvolvedores afetadas e ambientes CI/CD para prevenir comprometimento adicional ou movimentação lateral. Conduza uma investigação forense abrangente para determinar o alcance da exfiltração de dados, focando em credenciais de navegador e carteiras de criptomoedas. Rotacione todos os segredos, chaves de API e credenciais que possam ter sido acessíveis a partir de sistemas comprometidos.

Execução de Simulação

• Narrativa do Ataque e Comandos: Um atacante baixou com sucesso uma carga útil maliciosa (por exemplo, payload.dmg) via um navegador web. Devido ao Gatekeeper do macOS, o arquivo é marcado com o atributo com.apple.quarantine . Para evitar que o usuário veja um aviso “Este aplicativo foi baixado da internet” e contornar as verificações de verificação de assinatura durante a execução, o atacante executa um comando shell para remover esse atributo. O objetivo do atacante é executar a carga útil silenciosamente para estabelecer um canal de Comando e Controle (C2).

• Script de Teste de Regressão:

  #!/bin/bash
  # Simulação: Remover atributo de quarentena para contornar o Gatekeeper
  
  # 1. Criar um arquivo fictício para atuar como a "carga útil" maliciosa
  TARGET_FILE="/tmp/malicious_payload.txt"
  touch "$TARGET_FILE"
  
  # 2. Simular o atributo de quarentena presente (aplicando-o manualmente)
  # Nota: No mundo real, isso acontece automaticamente via downloads de navegador
  xattr -w com.apple.quarantine "0081;65a12345;Chrome;" "$TARGET_FILE"
  echo "[+] Atributo de quarentena simulado aplicado a $TARGET_FILE"
  
  # 3. Executar o comando específico que a regra de detecção está esperando
  echo "[!] Executando comando de ataque..."
  /usr/bin/xattr -d com.apple.quarantine "$TARGET_FILE"
  
  # 4. Verificar se o atributo foi removido
  if ! xattr -l "$TARGET_FILE" | grep -q "com.apple.quarantine"; then
    echo "[+] Sucesso: Atributo de quarentena removido. A detecção deve ter disparado."
  else
    echo "[-] Falha: O atributo de quarentena ainda existe."
  fi

• Comandos de Limpeza:

  # Remover o arquivo fictício
  rm /tmp/malicious_payload.txt