北朝鮮関連ハッカーTraderTraitorが悪意のあるTerraformプロジェクトを利用して新たな攻撃を開始

BlockBeatsのニュース、9月22日、SlowMistの開示によると、北朝鮮に関連する脅威グループTraderTraitor（別名UNC4899、Jade Sleet）が再び攻撃を仕掛け、最近インドに拠点を置く暗号資産業界とは無関係のITサービス企業に侵入した。

攻撃者はGitHubを通じて偽の求人情報を掲載し、「技術面接の課題」を餌にして、DevOpsおよび暗号エンジニアを対象にフィッシング攻撃を展開した。被害者が関連プロジェクトをダウンロードすると、悪意のある.terraform.lock.hclファイルが攻撃者制御のTerraform Providerドメインを指し、terraform initを実行すると悪意のあるProviderモジュールのダウンロードと実行がトリガーされる。

攻撃は最終的に被害者のmacOSデバイスにRust/ARM64バックドアFLATROOFとROOFDECKを展開し、これらのマルウェアファミリーは以前にもLayerZero攻撃に使用された。これらは資格情報や機密データの窃取、Shellコマンドの実行、ファイルの収集と外部送信、およびクラウドサービスやコードリポジトリへのアクセス権限の取得などの能力を備えている。

SlowMistは、TraderTraitorの今回の攻撃目標は暗号資産業界に限定されず、攻撃者は開発者が保有するAWS、GCP、OVH、OpenStackなどのクラウドおよびAPIアクセス権限により関心を持っている可能性があると警告している。企業は見知らぬTerraform Providerや採用担当者から提供されたコードリポジトリを慎重に扱い、個人または会社の開発デバイスで未検証の面接プロジェクトを実行することを避けるべきである。