TraderTraitor 연결 공격, Terraform 공급자를 악용하여 크로스 플랫폼 악성 소프트웨어 전파

요약

TraderTraitor 그룹은 크로스 플랫폼 악성코드를 배포하기 위해 트로이 목마화된 Terraform 공급자를 사용하는 캠페인을 진행 중입니다. 감염 체인은 FLATROOF 및 ROOFDECK 악성코드를 배포하기 전에 macOS, Linux 및 Windows에 대한 페이로드를 선택하는 Bash 로더에 의존합니다. 이러한 도구는 데이터 절도를 집중적으로 수행하며, 암호화폐 자격 증명 및 브라우저 정보를 표적으로 하면서 견고한 명령 및 제어 통신을 유지합니다.

조사

Zscaler ThreatLabz는 로드 시 임베디드 코드를 실행하는 악성 Go 기반의 Terraform 공급자인 terraform-provider-awsbeta_v1.0.0을 발견했습니다. 연구진은 .woff 파일이 폰트로 위장된 여러 단계의 전달 체인과 Pastebin 및 Nostr 메타데이터를 통한 계층적 C2 발견을 식별했습니다. 분석은 또한 macOS Gatekeeper를 우회하고 Windows 시스템에서 프로세스 주입을 수행할 수 있는 기능을 확인했습니다.

완화

조직은 신뢰할 수 없는 Terraform 공급자 사용을 제한하고 공급자 체크섬의 엄격한 검사를 시행해야 합니다. 개발자 도구 및 CI/CD 시스템에 의해 시작된 예상치 못한 자식 프로세스를 모니터링하는 것이 권장됩니다. 보안팀은 또한 검증되지 않은 도메인에 대한 아웃바운드 연결을 제한하고, 노출을 줄이기 위해 임시 디렉토리 내의 비정상 파일 활동을 모니터링해야 합니다.

대응

악성 활동이 감지되면, 추가 침해나 물리적 이동을 방지하기 위해 즉시 영향을 받은 개발자 워크스테이션 및 CI/CD 환경을 격리해야 합니다. 브라우저 자격 증명 및 암호화폐 지갑에 초점을 맞춰 데이터 유출의 범위를 결정하기 위해 포괄적인 포렌식 조사를 수행합니다. 손상된 시스템에서 접근할 수 있었던 모든 비밀, API 키 및 자격증을 회전시킵니다.

시뮬레이션 실행

• 공격 내러티브 & 명령: 공격자가 악성 페이로드를 성공적으로 다운로드했습니다 (예: payload.dmg) 웹 브라우저를 통해. macOS Gatekeeper로 인해 파일은 com.apple.quarantine 속성으로 표시됩니다. 사용자가 “이 앱은 인터넷에서 다운로드되었습니다” 경고를 보지 못하게 하고 실행 시 서명 확인 검사를 우회하기 위해 공격자는 이 속성을 제거하는 셸 명령을 실행합니다. 공격자의 목표는 페이로드를 조용히 실행하여 명령 및 제어 (C2) 채널을 확립하는 것입니다.

• 회귀 테스트 스크립트:

  #!/bin/bash
  # 시뮬레이션: Gatekeeper 우회를 위해 격리 속성 제거
  
  # 1. "악성" 페이로드 역할을 할 더미 파일 생성
  TARGET_FILE="/tmp/malicious_payload.txt"
  touch "$TARGET_FILE"
  
  # 2. 격리 속성이 존재하는 것처럼 시뮬레이션함 (수동 적용)
  # 참고: 실제 시나리오에서는 브라우저 다운로드를 통해 자동으로 발생
  xattr -w com.apple.quarantine "0081;65a12345;Chrome;" "$TARGET_FILE"
  echo "[+] $TARGET_FILE에 격리 속성 시뮬레이션 적용됨"
  
  # 3. 탐지 규칙이 찾는 특정 명령 실행
  echo "[!] 공격 명령 실행 중..."
  /usr/bin/xattr -d com.apple.quarantine "$TARGET_FILE"
  
  # 4. 속성이 사라졌는지 확인
  if ! xattr -l "$TARGET_FILE" | grep -q "com.apple.quarantine"; then
    echo "[+] 성공: 격리 속성 제거됨. 탐지가 작동했어야 합니다."
  else
    echo "[-] 실패: 격리 속성이 여전히 존재합니다."
  fi

• 정리 명령:

  # 더미 파일 제거
  rm /tmp/malicious_payload.txt