Attaque liée à TraderTraitor abusant du fournisseur Terraform pour propager des logiciels malveillants multiplateformes

Résumé

Le groupe TraderTraitor mène une campagne utilisant un fournisseur Terraform trojanisé pour distribuer un malware multiplateforme. La chaîne d’infection repose sur un chargeur Bash qui sélectionne des charges utiles pour macOS, Linux et Windows avant de déployer les malwares FLATROOF et ROOFDECK. Ces outils se concentrent sur le vol de données, ciblant les informations d’identification de cryptomonnaies et les informations de navigation tout en maintenant des communications de commande et de contrôle résilientes.

Enquête

Zscaler ThreatLabz a découvert un fournisseur Terraform malveillant basé sur Go nommé terraform-provider-awsbeta_v1.0.0 qui exécute du code intégré lors du chargement. Les chercheurs ont identifié une chaîne de livraison en plusieurs étapes impliquant des fichiers .woff déguisés en polices et une découverte C2 en couches via Pastebin et des métadonnées Nostr. L’analyse a également confirmé des capacités de contournement du Gatekeeper de macOS et d’injection de processus sur les systèmes Windows.

Atténuation

Les organisations devraient restreindre l’utilisation de fournisseurs Terraform non fiables et appliquer une validation stricte des sommes de contrôle des fournisseurs. Il est recommandé de surveiller les processus enfants inattendus lancés par les outils de développement et les systèmes CI/CD. Les équipes de sécurité devraient également restreindre les connexions sortantes vers des domaines non vérifiés et surveiller les activités de fichiers inhabituelles dans les répertoires temporaires pour réduire l’exposition.

Réponse

Lorsqu’une activité malveillante est détectée, isolez immédiatement les postes de travail des développeurs et les environnements CI/CD affectés pour prévenir toute compromission supplémentaire ou mouvement latéral. Menez une enquête judiciaire complète pour déterminer l’étendue de l’exfiltration de données, en vous concentrant sur les identifiants de navigateur et les portefeuilles de cryptomonnaies. Renouvelez tous les secrets, clés API et identifiants qui ont pu être accessibles depuis les systèmes compromis.

Exécution de simulation

• Narration de l’attaque et commandes : Un attaquant a réussi à télécharger une charge utile malveillante (par ex. payload.dmg) via un navigateur web. En raison du Gatekeeper de macOS, le fichier est marqué avec l’attribut com.apple.quarantine . Pour empêcher l’utilisateur de voir un avertissement « Cette application a été téléchargée depuis Internet » et pour contourner les vérifications de signature lors de l’exécution, l’attaquant exécute une commande shell pour retirer cet attribut. L’objectif de l’attaquant est d’exécuter la charge utile en silence pour établir un canal de commande et de contrôle (C2).

• Script de test de régression :

  #!/bin/bash
  # Simulation : Supprimer l'attribut de quarantaine pour contourner Gatekeeper
  
  # 1. Créer un fichier factice pour agir comme la charge utile "malveillante"
  TARGET_FILE="/tmp/malicious_payload.txt"
  touch "$TARGET_FILE"
  
  # 2. Simuler la présence de l'attribut de quarantaine (l'appliquer manuellement)
  # Remarque : Dans un scénario réel, cela se produit automatiquement via les téléchargements du navigateur
  xattr -w com.apple.quarantine "0081;65a12345;Chrome;" "$TARGET_FILE"
  echo "[+] Attribut de quarantaine simulé appliqué à $TARGET_FILE"
  
  # 3. Exécuter la commande spécifique que la règle de détection recherche
  echo "[!] Exécution de la commande d'attaque..."
  /usr/bin/xattr -d com.apple.quarantine "$TARGET_FILE"
  
  # 4. Vérifier si l'attribut a disparu
  if ! xattr -l "$TARGET_FILE" | grep -q "com.apple.quarantine"; then
    echo "[+] Succès : L'attribut de quarantaine a été supprimé. La détection aurait dû être déclenchée."
  else
    echo "[-] Échec : L'attribut de quarantaine existe encore."
  fi

• Commandes de nettoyage :

  # Supprimer le fichier factice
  rm /tmp/malicious_payload.txt