Attacco collegato a TraderTraitor sfrutta il provider Terraform per diffondere malware cross-platform

Riepilogo

Il gruppo TraderTraitor sta conducendo una campagna che utilizza un provider Terraform trojanizzato per distribuire malware multipiattaforma. La catena di infezione si basa su un loader Bash che seleziona i payload per macOS, Linux e Windows prima di distribuire il malware FLATROOF e ROOFDECK. Questi strumenti si concentrano sul furto di dati, prendendo di mira le credenziali di criptovaluta e le informazioni del browser mantenendo comunicazioni resilienti di comando e controllo.

Indagine

Zscaler ThreatLabz ha scoperto un provider Terraform malevolo basato su Go chiamato terraform-provider-awsbeta_v1.0.0 che esegue codice incorporato quando viene caricato. I ricercatori hanno identificato una catena di consegna a più fasi che coinvolge file .woff mascherati da font e una scoperta di C2 stratificata tramite Pastebin e metadati Nostr. L’analisi ha anche confermato capacità di bypassare il macOS Gatekeeper ed eseguire iniezioni di processo su sistemi Windows.

Mitigazione

Le organizzazioni dovrebbero limitare l’uso di provider Terraform non fidati e imporre la rigorosa validazione dei checksum dei provider. Si raccomanda di monitorare processi figlio imprevisti avviati da strumenti di sviluppo e sistemi CI/CD. I team di sicurezza dovrebbero anche limitare le connessioni in uscita verso domini non verificati e monitorare l’attività insolita dei file all’interno delle directory temporanee per ridurre l’esposizione.

Risposta

Quando viene rilevata un’attività malevola, isolare immediatamente le workstation degli sviluppatori e gli ambienti CI/CD compromessi per prevenire compromissioni aggiuntive o movimenti laterali. Condurre un’indagine forense completa per determinare l’entità dell’esfiltrazione dei dati, concentrandosi sulle credenziali del browser e sui portafogli di criptovaluta. Ruotare tutti i segreti, le chiavi API e le credenziali che potrebbero essere state accessibili dai sistemi compromessi.

Esecuzione di simulazione

• Narrazi Attacco & Comandi: Un aggressore ha scaricato con successo un payload malevolo (es. payload.dmg) tramite un browser web. A causa del macOS Gatekeeper, il file è etichettato con l’attributo com.apple.quarantine Per prevenire che l’utente veda un avviso “Questa app è stata scaricata da internet” e per bypassare i controlli di verifica della firma durante l’esecuzione, l’attaccante esegue un comando shell per rimuovere questo attributo. L’obiettivo dell’attaccante è eseguire il payload in modo silente per stabilire un canale di Comando e Controllo (C2).

• Script di Test di Regressione:

  #!/bin/bash
  # Simulazione: Rimuovere l'attributo di quarantena per bypassare Gatekeeper
  
  # 1. Creare un file dummy per agire come payload "malevolo"
  TARGET_FILE="/tmp/malicious_payload.txt"
  touch "$TARGET_FILE"
  
  # 2. Simulare la presenza dell'attributo di quarantena (applicandolo manualmente)
  # Nota: In uno scenario reale, ciò avviene automaticamente tramite download del browser
  xattr -w com.apple.quarantine "0081;65a12345;Chrome;" "$TARGET_FILE"
  echo "[+] Attributo di quarantena simulato applicato a $TARGET_FILE"
  
  # 3. Eseguire il comando specifico che la regola di rilevamento sta cercando
  echo "[!] Esecuzione del comando di attacco..."
  /usr/bin/xattr -d com.apple.quarantine "$TARGET_FILE"
  
  # 4. Verificare se l'attributo è rimosso
  if ! xattr -l "$TARGET_FILE" | grep -q "com.apple.quarantine"; then
    echo "[+] Successo: Attributo di quarantena rimosso. Il rilevamento dovrebbe essersi attivato."
  else
    echo "[-] Fallimento: L'attributo di quarantena esiste ancora."
  fi

• Comandi di Pulizia:

  # Rimuovere il file dummy
  rm /tmp/malicious_payload.txt