Atak powiązany z TraderTraitor nadużywa Terraform Provider do rozprzestrzeniania złośliwego oprogramowania na różnych platformach

Podsumowanie

Grupa TraderTraitor prowadzi kampanię wykorzystującą trojanizowanego dostawcę Terraform do dystrybucji oprogramowania złośliwego działającego na różnych platformach. Łańcuch infekcji opiera się na loaderze Bash, który wybiera ładunki dla macOS, Linuxa i Windowsa przed wdrożeniem złośliwego oprogramowania FLATROOF i ROOFDECK. Narzędzia te koncentrują się na kradzieży danych, celując w dane uwierzytelniające kryptowaluty i informacje o przeglądarce, utrzymując przy tym odporne komunikacje z poleceniami kontrolnymi.

Śledztwo

Zespół Zscaler ThreatLabz odkrył złośliwego dostawcę Terraform opartego na Go o nazwie terraform-provider-awsbeta_v1.0.0, który wykonuje osadzony kod po załadowaniu. Badacze zidentyfikowali wieloetapowy łańcuch dostawy obejmujący pliki .woff podszywające się pod czcionki oraz warstwowe odkrywanie C2 za pomocą Pastebin i metadanych Nostr. Analiza potwierdziła również zdolności do obchodzenia macOS Gatekeeper i wykonywania iniekcji procesów na systemach Windows.

Mitigacja

Organizacje powinny ograniczać korzystanie z niezaufanych dostawców Terraform i wymuszać ścisłą weryfikację sum kontrolnych dostawców. Zalecane jest monitorowanie niespodziewanych procesów potomnych uruchamianych przez narzędzia deweloperskie i systemy CI/CD. Zespoły bezpieczeństwa powinny również ograniczyć połączenia wychodzące do niezweryfikowanych domen i monitorować nietypową aktywność plików w katalogach tymczasowych w celu zmniejszenia narażenia.

Reakcja

Gdy wykryta zostanie złośliwa aktywność, natychmiast izolować powinno się dotknięte stanowiska deweloperskie i środowiska CI/CD, by zapobiec dalszym kompromitacjom lub poruszaniu się lateralnym. Przeprowadzić należy kompleksowe śledztwo kryminalistyczne w celu określenia zakresu wycieku danych, koncentrując się na danych uwierzytelniających przeglądarkę i portfele kryptowalut. Należy zmienić wszystkie sekrety, klucze API i dane uwierzytelniające, które mogły zostać osiągnięte z kompromitowanych systemów.

Symulacja Wykonania

• Narracja Ataku i Polecenia: Atakujący pobrał skutecznie złośliwy ładunek (np., payload.dmg) przez przeglądarkę internetową. Ze względu na macOS Gatekeeper, plik jest oznaczony atrybutem com.apple.quarantine . Aby zapobiec wyświetleniu użytkownikowi ostrzeżenia o pobraniu tej aplikacji z internetu oraz obejść kontrole weryfikacji podpisów podczas wykonania, atakujący wykonuje polecenie powłoki w celu usunięcia tego atrybutu. Celem atakującego jest ciche wykonanie ładunku w celu ustanowienia kanału Command and Control (C2).

• Skrypt Testowy regresji:

  #!/bin/bash
  # Symulacja: Usunięcie atrybutu kwarantanny w celu ominięcia Gatekeeper
  
  # 1. Utwórz plik zastępczy, który działa jako "złośliwy" ładunek
  TARGET_FILE="/tmp/malicious_payload.txt"
  touch "$TARGET_FILE"
  
  # 2. Symulacja obecności atrybutu kwarantanny (ręczna aplikacja go)
  # Uwaga: W rzeczywistości dzieje się to automatycznie poprzez pobrania z przeglądarki
  xattr -w com.apple.quarantine "0081;65a12345;Chrome;" "$TARGET_FILE"
  echo "[+] Zasymulowano przypisanie atrybutu kwarantanny do $TARGET_FILE"
  
  # 3. Wykonaj konkretne polecenie, którego oczekuje reguła wykrywania
  echo "[!] Wykonywanie polecenia ataku..."
  /usr/bin/xattr -d com.apple.quarantine "$TARGET_FILE"
  
  # 4. Sprawdź, czy atrybut zniknął
  if ! xattr -l "$TARGET_FILE" | grep -q "com.apple.quarantine"; then
    echo "[+] Sukces: Atrybut kwarantanny usunięty. Wykrywanie powinno się uruchomić."
  else
    echo "[-] Niepowodzenie: Atrybut kwarantanny nadal istnieje."
  fi

• Polecenia czyszczenia:

  # Usuń plik zastępczy
  rm /tmp/malicious_payload.txt