یک کمپین جدید در حوزه زنجیره تأمین (Supply-Chain Campaign) شناسایی شده است که با سوءاستفاده از گردش‌کارهای Provider در ابزار Terraform، سیستم‌های توسعه‌دهندگان در محیط‌های macOS، Linux و Windows را هدف قرار می‌دهد. در این حمله، از یک Provider تروجانی شده (Trojanized) استفاده شده است که در ظاهر یک پلاگین مشروع مربوط به AWS است، اما در واقع کدهای مخرب را در حین اجرای عادی ابزار Terraform اجرا می‌کند.
هدف حمله و مخاطرات
این فعالیت برای مهندسان Cloud، تیم‌های DevOps و توسعه‌دهندگان حوزه Cryptocurrency و Web3 یک تهدید جدی محسوب می‌شود؛ چرا که Terraform Providerها بر روی Workstationها و سیستم‌های CI/CD اجرا می‌شوند. این سیستم‌ها معمولاً دسترسی به سورس‌کد (Source Code)، اعتبارنامه‌های ابری (Cloud Credentials)، کلیدهای API، مجوزهای Deployment و داده‌های ذخیره‌شده در مرورگر را دارا هستند.
تحلیل فنی زنجیره سرایت
فایل اولیه با نام terraform-provider-awsbeta_v1.0.0 که به زبان Go نوشته شده است، خود را به عنوان یک Provider خدمات آمازون (AWS) معرفی می‌کند. برای حفظ ظاهر مشروع، ساختار یک Provider فعال را دارد، اما یک بسته مخرب به آن اضافه شده است که بلافاصله پس از بارگذاری توسط Terraform اجرا می‌شود.
- مرحله اول: بدافزار وجود فایل
session.lockرا در دایرکتوری موقت بررسی می‌کند. در صورت نبود این فایل، یک Loader مبتنی بر Bash به نامsafari_updaterرا دانلود و در پس‌زمینه اجرا کرده و سپس فایل lock را می‌سازد تا از اجرای مجدد جلوگیری کند. - مرحله دوم: Loader مذکور، سیستم‌عامل و معماری CPU را شناسایی کرده و Payload متناسب با آن را دانلود می‌کند. این فرآیند از طریق فایل‌هایی با پسوند
.woff(فایل‌های فونت وب) انجام می‌شود تا در بررسی‌های سریع، مشکوک به نظر نرسند. - مرحله سوم: داده‌های مخرب که پس از یک مارکر خاص (@@ENDFONT@@) قرار دارند، با استفاده از الگوریتم AES-256-CBC رمزگشایی شده و با کمک ابزارهایی مانند Python، Node.js یا OpenSSL اجرا می‌شوند.
بدافزارهای FLATROOF و ROOFDECK
بدافزار اصلی تحویل داده شده، FLATROOF است؛ یک Backdoor نوشته شده به زبان Rust که قابلیت ایجاد پایداری (Persistence) در هر سه سیستم‌عامل را دارد. این بدافزار می‌تواند اطلاعات سیستم را جمع‌آوری کرده، فایل‌ها را مدیریت کند و دستورات را از راه دور اجرا نماید. بخش سرقت داده‌های آن (Data Stealer) به‌طور ویژه بر روی مرورگرهای Chromium و Firefox و همچنین کیف پول‌های دیجیتال مانند MetaMask، Phantom و Trust Wallet تمرکز دارد.
علاوه بر این، بدافزار ROOFDECK نیز مستقر می‌شود که قابلیت‌های کنترل از راه دور پیشرفته‌تری دارد. نکته قابل توجه در مورد ROOFDECK، روش شناسایی سرور فرماندهی و کنترل (C2) آن است؛ این بدافزار می‌تواند برای یافتن سرور فعال خود از یک فایل پیکربندی محلی، رکوردهای امضا شده در Pastebin یا متادیتای پروفایل‌های Nostr استفاده کند.
توصیه‌های امنیتی برای تیم‌های SOC و DevOps
برای مقابله با این تهدید، سازمان‌ها باید اقدامات زیر را به سرعت پیاده‌سازی کنند:
- اعتبارسنجی Providerها: محدود کردن استفاده از Providerهای تأیید نشده و اعتبارسنجی Checksumها در فایل‌های Lock مربوط به Terraform.
- مانیتورینگ رفتار سیستم: رصد فرآیندهای مربوط به Terraform که اقدام به اجرای Shell می‌کنند یا فایل‌های مشکوک
.woffرا در دایرکتوری‌های موقت دانلود می‌کنند. - امن‌سازی CI/CD: پیاده‌سازی بررسی دقیق کد (Code Review)، کنترل وابستگی‌ها (Dependency Controls) و اسکن خودکار پیش از استقرار تغییرات زیرساختی.
- مدیریت اسرار: استفاده از ابزارهای مدیریت Secret برای جلوگیری از ذخیره کلیدهای API و اعتبارنامه‌ها در محیط‌های در دسترس توسعه‌دهندگان.
