Хакери злоупотребяват с доверени Terraform работни процеси, за да заразяват разработчици с многоплатформен зловреден код

Нова идентифицирана кампания срещу веригата за доставки злоупотребява с работните процеси на доставчици (providers) в Terraform, за да инфектира системи на разработчици със зловреден код, създаден за macOS, Linux и Windows.

Активността използва троянизиран Terraform доставчик, който изглежда като легитимен плъгин за AWS, което му позволява да изпълнява злонамерен код, докато все още се държи като нормален доставчик.

Кампанията е основен източник на безпокойство за облачни инженери, DevOps екипи и разработчици на криптовалути или Web3, тъй като Terraform доставчиците работят на работни станции и CI/CD системи, които могат да разполагат с достъп до изходен код, облачни идентификационни данни, API ключове, права за внедряване и данни за вход, съхранени в браузъра.

Случаят отблизо следва по-ранни доклади за фалшиви тестове за работа с Terraform, използвани за компрометиране на разработчици чрез проекти с доверено изглеждаща инфраструктура.

Изследователи от Zscaler ThreatLabz идентифицираха кампанията със зловреден код през юли 2026 г. и свързаха нейните инструменти и модели на насочване с предполагаема активност на TraderTraitor. TraderTraitor се проследява също като Jade Sleet, UNC4899, Pressure Chollima и Slow Pisces.

Въпреки това от Zscaler заявиха, че нямат достатъчно уникален код, инфраструктура или криптографски доказателства, за да припишат тази кампания на групата с висока увереност.

Първоначалният файл с име terraform-provider-awsbeta_v1.0.0 е написан на Go и се представя за доставчик на Amazon Web Services за HashiCorp Terraform.

Той съдържа работеща структура на доставчик, което му помага да изглежда нормално за жертвата. В същото време добавен злонамерен пакет се стартира веднага щом Terraform зареди доставчика.

Hackers Abuse Trusted Terraform Workflows

Доставчикът проверява за файл session.lock във временната директория, изтегля Bash товарач (loader), ако този файл липсва, стартира го във фонов режим и след това създава заключващия файл, за да избегне повторно стартиране.

Bash товарачът, наречен safari_updater, проверява операционната система и CPU архитектурата, преди да избере пригоден злонамерен код. Той поддържа системи с macOS, Linux и Windows, които използват съвместима Unix-подобна обвивка (shell), включително Cygwin, MinGW или MSYS.

Товарачът изтегля файлове, маскирани като нормални уеб-шрифт файлове .woff – метод, който може да накара инжектирания код да изглежда по-малко подозрителен при бърз преглед на файловете.

Злонамерените файлове съдържат примамливо съдържание на шрифт, последвано от маркер @@ENDFONT@@ и криптиран изпълним файл. Товарачът извлича скритите данни, декодира ги от Base64 и ги декриптира с AES-256-CBC.

Той може да използва Python, Node.js, Perl или OpenSSL в зависимост от това кой инструмент е инсталиран на устройството на жертвата. На macOS той също така премахва атрибута за карантина и прилага ad hoc кодов подпис преди изпълнението, което помага на зловредния код да работи без нормалните предупреждения от Gatekeeper.

Доставеният зловреден код се оценява като FLATROOF – базиран на Rust заден вход (backdoor), който поддържа и трите основни настолни операционни системи. Той може да установи персистентност чрез услуга в Linux, конфигурация за изход от системата в macOS или стойност в Windows Registry Run.

FLATROOF & ROOFDECK

FLATROOF може да събира системна информация, да изброява процеси, да управлява файлове, да изпълнява команди, да изтегля последващ злонамерен код, да качва откраднати данни и да се премахва сам, когато е необходимо.

Неговите базирани на Python крадци на данни търсят данни от браузъри Chromium и Firefox, включително запазени идентификационни данни, бисквитки, история на преглеждане, данни за автоматично попълване, история на shell, инсталирани приложения, работещи процеси и текущо потребителско име.

На macOS зловредният код може да събира данни от Safari и файла login.keychain-db. На Windows той се насочва към Chrome, Edge, Brave, записи в Windows Credential Manager, история на командите и данни от разширения на портфейли от MetaMask, Phantom, Trust Wallet и Rabby.

Този фокус върху браузъри и портфейли наподобява заплахите за веригата за доставки чрез пакети за разработчици, които все повече се насочват към Web3 среди. Кампанията внедрява и ROOFDECK – backdoor за Windows и macOS с по-силни функции за дистанционно управление.

ROOFDECK може да открива файлове и дискове, да стартира shell команди, да прехвърля файлове, да чете и записва данни в клипборда, да управлява фонови задачи, да се актуализира сам и да изтрива следи.

Неговият процес за откриване на команден и контролен сървър (command-and-control) е особено забележителен: той може да използва локален конфигурационен файл, криптографски подписан Pastebin запис или метаданни от Nostr профил, за да локализира своя активен сървър.

Тази употреба на публични платформи като гъвкави слоеве за доставка или контрол е подобна на други методи за криене на сървъри за зловреден код, наблюдавани в кампании, насочени към разработчици.

За защитниците инцидентът показва защо проверката на доставчиците трябва да бъде част от сигурността на Terraform. Екипите трябва да ограничат неодобрените доставчици, да валидират контролните суми във файловете за заключване на Terraform, да преглеждат адресите на източника на доставчика и да блокират дублиращи се домейни (lookalike domains).

Екипите по сигурността трябва също така да следят за процеси, свързани с Terraform, които стартират обвивки (shells), неочаквани файлове във временните директории, подозрителни .woff изтегляния и изпълними файлове, стартирани от папки с потребителски профили.

Прилагането на практики за сигурни CI/CD пайплайни може допълнително да намали риска чрез добавяне на преглед на кода, контрол на зависимостите, управление на тайни и автоматизирано сканиране преди внедряване на промени в инфраструктурата.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено обезвредени (напр. [.]), за да се предотврати случайно решаване на имена или създаване на хипервръзки. Възстановете ги само в контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашия SIEM.