کمپین جدیدی از حملات سایبری، ابزارهای مورد استفاده توسعه‌دهندگان برای مدیریت زیرساخت‌های ابری را هدف قرار داده است. تحلیلگران Aikido شناسایی کرده‌اند که یک عامل تهدید (Threat Actor) مرتبط با گروه Graphalgo، برنامه‌های دسترسی از راه دور (Remote Access) را در Terraform Providers و بسته‌های نرم‌افزاری Go جاسازی کرده است تا محیط‌های توسعه را به مسیری برای نفوذ به سیستم‌های حساس تبدیل کند.
استراتژی نفوذ و تکنیک‌های استتار
این بدافزارها برای شناسایی نشدن در تست‌های اولیه، از مکانیزم‌های پیچیده‌ای استفاده می‌کنند. برخی از این بسته‌ها تنها زمانی فعال می‌شوند که ورودی‌های خاصی در Terraform تولید شوند که منجر به ایجاد یک Hash مشخص گردد؛ در غیر این صورت، کد مخرب غیرفعال باقی می‌ماند. پس از فعال‌سازی، بدافزار یک آرشیو مبدل را رمزگشایی کرده و کدهای Go را به عنوان یک پروسه مجزا اجرا می‌کند.
مهندسی اجتماعی و Typosquatting
مهاجمان از تکنیک Typosquatting استفاده کرده‌اند و Providerهایی را منتشر کردند که نام آن‌ها بسیار شبیه به نسخه‌های محبوب (مانند Docker Provider با ۵۶ میلیون دانلود) است. این روش باعث می‌شود توسعه‌دهندگان در نگاه اول متوجه نبود یک حرف یا تغییر جزئی در نام بسته نشوند و آن را نصب کنند.
مدیریت فرمان و کنترل (C2) از طریق بلاک‌چین و Slack
بدافزار پس از فعال‌سازی، جزئیات سیستم را جمع‌آوری کرده و از طریق Slack گزارش می‌دهد. نکته قابل توجه در این کمپین، استفاده از یک قرارداد هوشمند (Smart Contract) در شبکه تست Ethereum برای ارسال دستورات است. اپراتور حمله می‌تواند از طریق Slack یا بلاک‌چین، دستور اجرای کدهای Go یا JavaScript جدید و یا پاکسازی اثرات بدافزار را ارسال کند.
توصیه‌های امنیتی برای تیم‌های SOC و DevOps
- ایزوله‌سازی: در صورت شناسایی نصب بسته‌های آلوده، ماشین یا Build Runner مربوطه باید فوراً ایزوله شود.
- چرخش اعتبارنامه‌ها: تمامی Credentials و کلیدهای دسترسی که در محیط آلوده استفاده شده‌اند، باید تغییر کنند.
- بازسازی سیستم: به دلیل احتمال باقی ماندن Payloadهای ثانویه، Reimaging سیستم ایمن‌ترین روش پاکسازی است.
- مانیتورینگ شبکه: سازمان‌هایی که دلیل تجاری برای ارتباط با سرویس‌های بلاک‌چین ندارند، باید ارتباطات مشکوک به این وب‌سایت‌ها را رصد کنند.
