暗号資産業界外にも攻撃対象を拡大、北朝鮮関連ハッカーTraderTraitorが悪意あるTerraformプロジェクトを悪用したフィッシング攻撃を実施

Odaily星球日报訊 北朝鮮関連の脅威グループTraderTraitor（別名UNC4899、Jade Sleet）が最近、インドに拠点を置く暗号資産業界とは無関係のITサービス企業に侵入した。攻撃者はGitHub上で虚偽の求人情報を公開し、技術面接の課題を餌として、DevOpsおよび暗号技術者を対象にフィッシング攻撃を仕掛けた。

被害者がプロジェクトをダウンロードすると、悪意ある.terraform.lock.hclファイルが攻撃者制御下のTerraform Providerドメインを指し示す。terraform initを実行すると、悪意あるProviderモジュールがダウンロード・実行され、最終的にmacOSデバイスにRust/ARM64バックドアFLATROOFおよびROOFDECKが展開される。関連するマルウェアは、認証情報や機密データの窃取、シェルコマンドの実行、ファイルの収集・外部送信、さらにはクラウドサービスやコードリポジトリへのアクセス権限の取得が可能である。