گروه تهدید پیشرفته Jade Sleet (که با نام‌های PUKCHONG و UNC4899 نیز شناخته می‌شود) در حملات اخیر خود، یک سازمان کوچک در حوزه خدمات فناوری اطلاعات (IT) در هند را هدف قرار داده است. این حمله بار دیگر نشان می‌دهد که مهاجمان برای نفوذ به شبکه‌های هدف، تمرکز ویژه‌ای بر هدف قرار دادن توسعه‌دهندگان (Developers) دارند.
ابزارهای مورد استفاده و متدهای نفوذ
بر اساس گزارش‌های منتشر شده، این گروه از دو بک‌دور (Backdoor) مخصوص سیستم‌عامل macOS به نام‌های FLATROOF و ROOFDECK استفاده کرده‌اند. این ابزارها پیش‌تر در حملات علیه پل LayerZero در پروتکل KelpDAO نیز مشاهده شده بودند. متد نفوذ این گروه عمدتاً بر پایه مهندسی اجتماعی (Social Engineering) و ارسال پیشنهادهای شغلی جعلی برای جذب متخصصان حوزه‌های DevOps، ارزهای دیجیتال و Fintech است.
زنجیره حمله و سوءاستفاده از Terraform
مهاجمان از طریق ایجاد مخازن (Repositories) جعلی در GitHub، پروژه‌های مهندسی زیرساخت را شبیه‌سازی می‌کنند. در این مخازن، یک فایل lock مربوط به Terraform (با پسوند .terraform.lock.hcl) به صورت مخرب (Weaponized) قرار داده شده است. زمانی که توسعه‌دهنده دستور terraform init را اجرا می‌کند، سیستم به طور خودکار ماژول‌های تحت کنترل مهاجم را از دامنه‌های جعلی دانلود کرده و اجرا می‌کند.
تحلیل بدافزارهای ROOFDECK و FLATROOF
- زبان برنامه‌نویسی: هر دو بدافزار با زبان Rust توسعه یافته‌اند و سیستم‌های macOS مبتنی بر معماری ARM (Apple Silicon) را هدف قرار می‌دهند.
- مکانیزم کنترل: دستورات ROOFDECK با کلید خصوصی اپراتور امضا شده‌اند و پیش از اجرا، یکپارچگی آن‌ها با استفاده از یک کلید عمومی داخلی تایید می‌شود.
- قابلیت‌ها: این بدافزار بسیاری از دستورات رایج Shell برای مدیریت فایل‌ها و دایرکتوری‌ها را بازسازی کرده است تا مشابه ابزارهای پیشرفته‌ای نظیر LightlessCan (متعلق به گروه Lazarus) عمل کند.
در مورد قربانی هندی، این بدافزارها از طریق لپ‌تاپ یک مهندس DevOps وارد شبکه شده و پس از مدتی رکود، فعالیت خود را برای ارسال داده‌ها (Beaconing) آغاز کردند. نسخه‌های به‌روز شده ROOFDECK برای دور زدن سیستم‌های شناسایی، نمادها (Symbols) و اطلاعات دیباگ را حذف می‌کنند.
توصیه امنیتی برای مدیران SOC و CISO
این حملات نشان می‌دهد که نقاط انتهایی (Endpoints) توسعه‌دهندگان به دلیل دسترسی مستقیم به Cloud، Pipelineها و سورس‌کدها، به یکی از بحرانی‌ترین نقاط ضعف تبدیل شده‌اند. نظارت دقیق بر محیط‌های توسعه و کنترل دسترسی‌های Terraform در سازمان‌ها برای مقابله با حملات زنجیره تامین (Supply Chain Attacks) ضروری است.
