朝鲜 TraderTraitor 黑客利用伪造的 Terraform 作业测试部署 macOS 后门

原创

ZM
ZM

暗镜

2026年9月28日 06:00
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

朝鲜网络攻击者利用伪造的 Terraform 作业测试来攻击 macOS 开发人员并入侵云系统。此次攻击活动表明，看似例行的编码任务如何成为数据窃取、远程控制和更深层次网络入侵的入口。该活动与 TraderTraitor 有关，TraderTraitor 是 Lazarus 的一个以经济利益为驱动的子组织，也被追踪为 UNC4899、PUKCHONG 和 Jade Sleet。

此前 LayerZero 发生了一起重大事件，调查人员发现一家与此无关的印度 IT 服务提供商也受到了后门的影响。SentinelLABS 在一份与网络安全新闻 (CSN) 分享的报告中表示，攻击者已将攻击目标扩大到加密货币公司之外。研究结果表明，朝鲜的黑客会追捕开发人员、云管理员以及掌握重要技术权限的人员。

风险并非局限于某个雇主或某个行业。开发人员的笔记本电脑可能存储着云凭证、源代码访问权限、部署权限和应用程序编程接口密钥，使其成为连接企业基础设施的重要桥梁。最近 Lazarus 的面试活动中也出现了类似的招聘人员主导的陷阱，对所谓招聘流程的信任成为了最初的弱点。朝鲜交易者叛徒黑客使用.TraderTraitor 通过 GitHub 代码库向求职者推送以基础设施为重点的面试任务。这些目标求职者的公开资料通常显示他们拥有 DevOps、加密货币或金融科技方面的经验，这使得 TraderTraitor 能够根据他们的专业技能定制项目。研究人员使用诸如 Northwind-IAC、novacart-interview 和 terraform-candidate-repo 之类的名称来识别存储库。每个诱饵都包含一个被篡改的 .terraform.lock.hcl 文件，该文件会将 Terraform 指向攻击者控制的提供程序注册表，而不是合法的来源。运行 terraform init 命令后，恶意提供程序模块将被下载并执行。

这种策略之所以特别有效，是因为锁定文件看起来像是普通的项目元数据。一位候选人注意到一个可疑的仿冒提供程序并将其删除，这表明仔细审查可以在代码运行之前阻止感染。

这种担忧与恶意 Terraform 注册表攻击不谋而合，这些攻击表明了基础设施软件包受损的危险性。攻击者利用此访问权限在 macOS 上安装了 FLATROOF 和 ROOFDECK 后门。

在之前的 LayerZero 入侵事件中，这些工具帮助攻击者收集 API 密钥，并支持对亚马逊云服务 (AWS) 和谷歌云平台 (GCP) 环境进行权限提升。因此，此次攻击活动的目标既包括终端节点，也包括与其连接的云平台。

在印度一家IT服务公司，攻击者入侵了一台由DevOps工程师使用的搭载Apple Silicon芯片的MacBook电脑。这台电脑日常管理AWS、OVH和OpenStack资源，持有云凭证和源代码控制访问权限。遥测数据显示，在3月29日攻击活动开始之前，两台植入程序已于3月18日安装在磁盘上。FLATROOF 伪装成 SystemUpdate，旨在进行初始数据收集和后续推送。它可以运行 shell 命令、通过 Telegram 上传文件、收集浏览器数据和终端历史记录、列出已安装的应用程序、记录正在运行的进程、分析系统性能并复制登录密钥链。它的行为与Rust macOS 后门调查的结果一致，该调查记录了其窃取数据的能力。ROOFDECK 伪装成 iSync，提供了更广泛的控制功能。

相关ioc