TraderTraitorに関連する攻撃がTerraformプロバイダを悪用し、クロスプラットフォームのマルウェアを拡散

概要

TraderTraitorグループは、トロイの木馬化されたTerraformプロバイダを使用してクロスプラットフォームのマルウェアを配布するキャンペーンを実施しています。感染チェーンは、FLATROOFおよびROOFDECKマルウェアを展開する前にmacOS、Linux、およびWindowsのペイロードを選択するBashローダーに依存しています。これらのツールは、データの窃盗に重点を置き、仮想通貨の資格情報やブラウザ情報を標的にしながら、強靭なコマンド＆コントロール通信を維持します。

調査

Zscaler ThreatLabzは、読み込まれると埋め込まれたコードを実行するGoベースの悪意あるTerraformプロバイダ「terraform-provider-awsbeta_v1.0.0」を発見しました。研究者はフォントに偽装した.woffファイルを含む多段階の配信チェーンを特定し、PastebinやNostrメタデータを介したC2の発見を段階化しました。分析では、macOS GatekeeperのバイパスやWindowsシステムでのプロセス注入の実行能力も確認されました。

緩和策

組織は、信頼されていないTerraformプロバイダの使用を制限し、プロバイダのチェックサムの厳格な検証を強制する必要があります。開発ツールやCI/CDシステムによって開始された予期しない子プロセスを監視することを推奨します。セキュリティチームは、未確認のドメインへのアウトバウンド接続を制限し、テンポラリディレクトリ内の異常なファイル活動を監視して露出を減少させるべきです。

反応

悪意のある活動が検出された場合、追加の妥協や横移動を防ぐために、影響を受けた開発者ワークステーションとCI/CD環境を直ちに隔離します。ブラウザ資格情報と仮想通貨ウォレットに重点を置いて、データ流出の範囲を決定する包括的な法医学調査を実施します。妥協したシステムからアクセス可能だったすべての秘密、APIキー、資格情報を更新します。

シミュレーションの実行

• 攻撃ストーリーとコマンド: 攻撃者が悪意あるペイロード (例: payload.dmg) をウェブブラウザ経由でダウンロードすることに成功しました。macOS Gatekeeperのため、ファイルは com.apple.quarantine 属性でフラグされます。ユーザーが「このアプリはインターネットからダウンロードされました」といった警告を見るのを防ぎ、実行時の署名検証チェックを回避するため、攻撃者はこの属性を削除するためのシェルコマンドを実行します。攻撃者の目的は、C2チャネルの確立に向けてペイロードを密かに実行することです。

• 回帰テストスクリプト:

  #!/bin/bash
  # シミュレーション: ゲートキーパーを回避するため隔離属性を削除
  
  # 1. 「悪意ある」ペイロードとしてのダミーファイルを作成
  TARGET_FILE="/tmp/malicious_payload.txt"
  touch "$TARGET_FILE"
  
  # 2. 隔離属性が存在することをシミュレート (手動で適用)
  # 注: 実際のシナリオでは、ブラウザのダウンロードによって自動で行われます
  xattr -w com.apple.quarantine "0081;65a12345;Chrome;" "$TARGET_FILE"
  echo "[+] $TARGET_FILEにシミュレートされた隔離属性が適用されました"
  
  # 3. 検出ルールが探している特定のコマンドを実行
  echo "[!] 攻撃コマンドを実行中..."
  /usr/bin/xattr -d com.apple.quarantine "$TARGET_FILE"
  
  # 4. 属性が消えたか確認
  if ! xattr -l "$TARGET_FILE" | grep -q "com.apple.quarantine"; then
    echo "[+] 成功: 隔離属性が削除されました。検出は発火するはずです。"
  else
    echo "[-] 失敗: 隔離属性が残っています。"
  fi

• クリーンアップコマンド:

  # ダミーファイルを削除
  rm /tmp/malicious_payload.txt