Kuzey Kore bağlantılı hacker grubu TraderTraitor, kötü niyetli Terraform projelerini kullanarak yeni bir saldırı dalgası başlattı.

BlockBeats haberine göre, 22 Eylül'de SlowMist'in açıklamasına göre, Kuzey Kore bağlantılı tehdit grubu TraderTraitor (diğer adıyla UNC4899, Jade Sleet) yeniden saldırı düzenledi ve son dönemde Hindistan'da bulunan, kripto sektörüyle ilgisi olmayan bir BT hizmet şirketine sızdı.

Saldırganlar, GitHub üzerinden sahte iş ilanları yayınlayarak "teknik mülakat ödevi" yemini kullanıp DevOps ve kripto mühendislerine yönelik oltalama saldırıları gerçekleştirdi. Kurbanlar ilgili projeyi indirdikten sonra, kötü niyetli .terraform.lock.hcl dosyası saldırganların kontrol ettiği Terraform Provider alan adına işaret eder ve terraform init çalıştırıldığında kötü niyetli Provider modülünün indirilip yürütülmesi tetiklenir.

Saldırı sonucunda kurbanların macOS cihazlarına Rust/ARM64 arka kapıları FLATROOF ve ROOFDECK yerleştirildi; bu iki kötü amaçlı yazılım ailesi daha önce LayerZero saldırısında da kullanılmıştı. Bu yazılımlar kimlik bilgilerini ve hassas verileri çalma, Shell komutları yürütme, dosyaları toplayıp dışarı sızdırma ve bulut hizmetleri ile kod depolarına erişim elde etme gibi yeteneklere sahiptir.

SlowMist, TraderTraitor'ın bu saldırıdaki hedefinin artık kripto sektörüyle sınırlı olmadığını, saldırganların geliştiricilerin sahip olduğu AWS, GCP, OVH ve OpenStack gibi bulut ve API erişim yetkilerine daha fazla odaklanabileceğini hatırlattı. İşletmeler yabancı Terraform Provider'lara ve işe alım tarafının sağladığı kod depolarına karşı dikkatli olmalı ve doğrulanmamış mülakat projelerini kişisel veya şirket geliştirme cihazlarında çalıştırmaktan kaçınmalıdır.