محققان امنیت سایبری از کشف بدافزارهای مبتنی بر زبان Go خبر دادند که از طریق دو Go Module و دو Terraform Provider توزیع شده‌اند. این اولین مورد ثبت شده‌ای است که در آن عاملان تهدید از مخزن مرکزی HashiCorp به عنوان برداری برای توزیع محموله‌های مخرب (Payloads) استفاده کرده‌اند.
ارتباط با کمپین‌های Graphalgo و DPRK
تحلیل‌های صورت گرفته نشان می‌دهد این بدافزارها شباهت‌های زیادی با کمپین Graphalgo دارند؛ عملیاتی که پیش‌تر توسط ReversingLabs مستند شده و به عاملان تهدید کره شمالی (DPRK) نسبت داده شده است. در این حملات، مهاجمان از طریق شبکه‌های اجتماعی مانند LinkedIn و Facebook یا آگهی‌های شغلی در فروم‌ها، خود را به عنوان شرکت‌های Web3 معرفی کرده و توسعه‌دهندگان را برای انجام یک تسک کدنویسی جذب می‌کنند.
مکانیزم پیچیده کنترل و فرمان (C2)
این بدافزار از یک ساختار پیشرفته برای ارتباط با سرور فرمان و کنترل (C2) استفاده می‌کند که شامل موارد زیر است:
- Blockchain Dead Drops: استفاده از قراردادهای هوشمند (Smart Contracts) در شبکه تست Sepolia اتریوم برای دریافت دستورات رمزنگاری شده.
- Slack Integration: استفاده از توکن‌های بات Slack برای ایجاد یک کانال ارتباطی موازی و ارسال اطلاعات سیستم قربانی.
- رمزنگاری نامتقارن: محموله نهایی تنها در صورت حل یک سیستم خطی با ماتریس خاص رمزگشایی می‌شود که نشان‌دهنده هدفمند بودن (Targeted) این عملیات است.
گسترش سطح حمله به زنجیره تامین (Supply Chain)
استفاده از Terraform Providers یک تاکتیک نوظهور است که مسیر مستقیم‌تری را برای دسترسی به اعتبارنامه‌های حساس در محیط‌های Production فراهم می‌کند. این موضوع نشان می‌دهد که مهاجمان در حال گسترش دامنه حملات خود فراتر از مخازن npm و PyPI هستند.
سایر تهدیدات مرتبط: GHAPPIER و PolinRider
همزمان، یک لودر جاوااسکریپت به نام GHAPPIER شناسایی شده که از طریق به سازگاری (Compromise) یک بسته معتبر در npm توزیع شده است. این لودر با تکنیک NullReceiver برای دریافت آدرس C2 از کیف پول مهاجم ارتباط برقرار می‌کند که با فعالیت‌های گروه PolinRider (مرتبط با کره شمالی) همخوانی دارد.
هشدار پروژه Rust در مورد مصاحبه‌های شغلی جعلی
پروژه Rust نیز در مورد کمپین‌های مشابه هشدار داده است که در آن مهاجمان با ایجاد پروفایل‌های جعلی در LinkedIn و ترتیب دادن مصاحبه‌های شغلی ویدئویی، سعی می‌کنند کاربران را فریب دهند تا کد-های مخرب یا Codecs جعلی را نصب کنند. این متد مشابه کمپین Contagious Interview است.
