TraderTraitor-verbundener Angriff missbraucht Terraform-Provider, um plattformübergreifende Malware zu verbreiten

Zusammenfassung

Die TraderTraitor-Gruppe führt eine Kampagne durch, die einen trojanisierten Terraform-Anbieter verwendet, um plattformübergreifende Malware zu verbreiten. Die Infektionskette basiert auf einem Bash-Loader, der Payloads für macOS, Linux und Windows auswählt, bevor FLATROOF- und ROOFDECK-Malware bereitgestellt wird. Diese Werkzeuge konzentrieren sich auf Datendiebstahl und zielen auf Kryptowährungsanmeldedaten und Browserinformationen, während sie widerstandsfähige Command-and-Control-Kommunikation aufrechterhalten.

Untersuchung

Zscaler ThreatLabz entdeckte einen bösartigen Go-basierten Terraform-Anbieter namens terraform-provider-awsbeta_v1.0.0, der eingebetteten Code ausführt, wenn er geladen wird. Forscher identifizierten eine mehrstufige Lieferkette, die .woff-Dateien als Schriften getarnt und geschichtete C2-Erkennung durch Pastebin- und Nostr-Metadaten einsetzt. Die Analyse bestätigte auch die Fähigkeit, den macOS Gatekeeper zu umgehen und Prozessinjektionen auf Windows-Systemen durchzuführen.

Minderung

Organisationen sollten die Verwendung von unzuverlässigen Terraform-Anbietern einschränken und eine strikte Validierung der Provider-Checksummen durchsetzen. Das Überwachen unerwarteter Kindprozesse, die von Entwicklerwerkzeugen und CI/CD-Systemen gestartet werden, wird empfohlen. Sicherheitsteams sollten auch ausgehende Verbindungen zu nicht verifizierten Domains beschränken und ungewöhnliche Dateiaktivitäten in temporären Verzeichnissen überwachen, um die Exposition zu reduzieren.

Reaktion

Wenn bösartige Aktivitäten erkannt werden, isolieren Sie sofort betroffene Entwicklerarbeitsplätze und CI/CD-Umgebungen, um zusätzliche Kompromittierungen oder seitliche Bewegungen zu verhindern. Führen Sie eine umfassende forensische Untersuchung durch, um das Ausmaß der Datenexfiltration zu bestimmen, und konzentrieren Sie sich auf Browseranmeldedaten und Kryptowährungs-Wallets. Drehen Sie alle Geheimnisse, API-Schlüssel und Anmeldeinformationen, die von kompromittierten Systemen aus zugänglich gewesen sein könnten.

Simulationsausführung

• Angriffsnarrativ & Befehle: Ein Angreifer hat erfolgreich eine bösartige Nutzlast heruntergeladen (z.B. payload.dmg) über einen Webbrowser. Aufgrund des macOS Gatekeepers wird die Datei mit dem com.apple.quarantine Attribut markiert. Um zu verhindern, dass der Benutzer eine Warnung „Diese App wurde aus dem Internet heruntergeladen“ sieht und um Signaturüberprüfungen bei der Ausführung zu umgehen, führt der Angreifer einen Shell-Befehl aus, um dieses Attribut zu entfernen. Das Ziel des Angreifers ist es, die Nutzlast stillschweigend auszuführen, um einen Command-and-Control (C2)-Kanal zu etablieren.

• Regressionstestskript:

  #!/bin/bash
  # Simulation: Entfernen des Quarantäneattributs zum Umgehen des Gatekeepers
  
  # 1. Erstellen einer Dummy-Datei, die als "bösartige" Nutzlast fungiert
  TARGET_FILE="/tmp/malicious_payload.txt"
  touch "$TARGET_FILE"
  
  # 2. Simulation des Vorhandenseins des Quarantäneattributs (manuelles Anwenden)
  # Hinweis: In einem echten Szenario passiert dies automatisch über Browser-Downloads
  xattr -w com.apple.quarantine "0081;65a12345;Chrome;" "$TARGET_FILE"
  echo "[+] Quarantäneattribut erfolgreich simuliert und auf $TARGET_FILE angewendet"
  
  # 3. Ausführen des spezifischen Befehls, nach dem die Erkennungsregel sucht
  echo "[!] Ausführen des Angriffsbefehls..."
  /usr/bin/xattr -d com.apple.quarantine "$TARGET_FILE"
  
  # 4. Überprüfung, ob das Attribut entfernt wurde
  if ! xattr -l "$TARGET_FILE" | grep -q "com.apple.quarantine"; then
    echo "[+] Erfolg: Quarantäneattribut entfernt. Erkennung sollte erfolgt sein."
  else
    echo "[-] Fehler: Quarantäneattribut ist noch vorhanden."
  fi

• Bereinigungskommandos:

  # Entfernen der Dummy-Datei
  rm /tmp/malicious_payload.txt