گروه TraderTraitor (شناخته شده با نام‌های UNC4899 و Jade Sleet)، که یک زیرمجموعه با انگیزه‌های مالی از گروه Lazarus کره شمالی است، در جریان کمپین‌های اخیر خود استراتژی‌های جدیدی را برای نفوذ به سازمان‌ها به کار گرفته است. این گروه با استفاده از تکنیک‌های مهندسی اجتماعی (Social Engineering) و جعل فرصت‌های شغلی، توسعه‌دهندگان حوزه DevOps و FinTech را هدف قرار می‌دهد تا از طریق سیستم‌های آن‌ها به زیرساخت‌های ابری دسترسی پیدا کند.
مکانیسم نفوذ: سوءاستفاده از فایل‌های Lock در Terraform
مهاجمان از طریق ایجاد مخازن (Repositories) جعلی در GitHub، پروژه‌های کدنویسی را به عنوان «تکلیف مصاحبه شغلی» برای متقاضیان ارسال می‌کنند. نکته کلیدی این حملات، استفاده از یک فایل .terraform.lock.hcl دست‌کاری شده است. این فایل حاوی یک Provider سفارشی است که به دامنه‌های تحت کنترل مهاجم اشاره می‌کند.
- زمانی که توسعه‌دهنده دستور
terraform initرا اجرا می‌کند، Terraform این Provider جعلی را به عنوان منبع مورد اعتماد پذیرفته و ماژول‌های مخرب را دانلود و اجرا می‌کند. - دامنه‌های Typosquatted مانند
registry.hashicorp-aws[.]ioبرای فریب کاربران به کار رفته‌اند.
تحلیل بدافزارهای macOS: FLATROOF و ROOFDECK
پس از اجرای پروژه مخرب، دو بدافزار ARM64 نوشته شده با زبان Rust بر روی سیستم قربانی نصب می‌شوند:
1. FLATROOF (یا macOS.Gaslight): این بدافزار وظیفه جمع‌آوری اولیه داده‌ها و آماده‌سازی سیستم برای Payloadهای ثانویه را دارد. FLATROOF با حذف ویژگی com.apple.quarantine، مکانیزم Gatekeeper اپل را دور زده و اجازه اجرای ROOFDECK را بدون هشدار به کاربر می‌دهد. این بدافزار داده‌های مرورگرها، تاریخچه ترمینال و فایل login.keychain-db را از طریق بات‌های تلگرام استخراج می‌کند.
2. ROOFDECK: یک Backdoor پیشرفته‌تر برای شناسایی عمیق و حرکت عرضی (Lateral Movement) در شبکه است. این بدافزار برای یافتن آدرس C2 خود از شبکه غیرمتمرکز Nostr استفاده می‌کند. ROOFDECK قابلیت‌های گسترده‌ای از جمله اجرای دستورات Shell، مدیریت فایل‌ها، دسترسی به Clipboard و ایجاد Reverse Shell را داراست.
توسعه دامنه حملات
در حالی که حملات قبلی این گروه (مانند حمله به LayerZero) متمرکز بر سرقت ارزهای دیجیتال بود، تحلیل‌های جدید نشان می‌دهد که TraderTraitor سازمان‌های کوچک‌تر در حوزه خدمات IT را نیز هدف قرار داده است. هدف نهایی این حملات، دسترسی به API Keyها، اعتبارنامه‌های Cloud (مانند AWS و GCP) و دسترسی به Source Control است تا از طریق آن‌ها به زیرساخت‌های حساس نفوذ کنند.
توصیه‌های امنیتی برای مدیران SOC و مهندسان
- مانیتورینگ نقاط انتهایی: نظارت دقیق بر اجرای باینری‌های بدون امضا (Unsigned) در دایرکتوری Home و بررسی فرزندهای (Child Processes) محیط‌های IDE.
- سیاست‌های سازمانی: ممنوعیت استفاده از Workstationهای شرکتی برای انجام مصاحبه‌های شغلی خارجی و اجرای پروژه‌های ناشناس.
- آموزش توسعه‌دهندگان: بررسی دقیق فایل‌های Lock در Terraform و اطمینان از اینکه Providerها تنها از دامنه‌های رسمی مانند
registry.terraform.ioبارگذاری می‌شوند.
