Tin tặc TraderTraitor có liên hệ với Triều Tiên sử dụng dự án Terraform độc hại để phát động làn sóng tấn công mới

Tin BlockBeats, ngày 22 tháng 9, theo tiết lộ của SlowMist, nhóm mối đe dọa có liên hệ với Triều Tiên TraderTraitor (còn gọi là UNC4899, Jade Sleet) lại một lần nữa phát động tấn công, gần đây đã xâm nhập vào một công ty dịch vụ IT có trụ sở tại Ấn Độ, không liên quan đến ngành crypto.

Kẻ tấn công thông qua GitHub đăng thông tin tuyển dụng giả mạo, lấy "bài tập phỏng vấn kỹ thuật" làm mồi nhử, nhắm vào các kỹ sư DevOps và crypto để triển khai tấn công phishing. Sau khi nạn nhân tải xuống dự án liên quan, tệp .terraform.lock.hcl độc hại sẽ trỏ đến tên miền Terraform Provider do kẻ tấn công kiểm soát, sau khi chạy terraform init sẽ kích hoạt tải xuống và thực thi module Provider độc hại.

Cuộc tấn công cuối cùng triển khai backdoor Rust/ARM64 FLATROOF và ROOFDECK trên thiết bị macOS của nạn nhân, hai họ malware này trước đây cũng từng được sử dụng trong cuộc tấn công LayerZero. Chúng có khả năng đánh cắp thông tin xác thực và dữ liệu nhạy cảm, thực thi lệnh Shell, thu thập và truyền tệp ra ngoài, cũng như giành quyền truy cập dịch vụ đám mây và kho mã nguồn.

SlowMist nhắc nhở, mục tiêu tấn công lần này của TraderTraitor không còn giới hạn trong ngành crypto, kẻ tấn công có thể chú trọng hơn đến quyền truy cập đám mây và API như AWS, GCP, OVH và OpenStack mà nhà phát triển sở hữu. Doanh nghiệp nên xử lý cẩn thận các Terraform Provider lạ và kho mã nguồn do bên tuyển dụng cung cấp, đồng thời tránh sử dụng thiết bị phát triển cá nhân hoặc công ty để thực thi các dự án phỏng vấn chưa được xác minh.