朝鮮關聯黑客TraderTraitor利用噁意Terraform項目發動新一輪攻擊

BiRun 訊，9 月 22 日，據 SlowMist 披露，朝鮮關聯威脅組織 TraderTraitor（又名 UNC4899、Jade Sleet）再次發動攻擊，近期已入侵一家位於印度、與加密行業無關的 IT 服務公司。

攻擊者通過 GitHub 發布虛假招聘信息，以「技術面試作業」為誘餌，針對 DevOps 及加密工程師展開釣魚攻擊。受害者下載相關項目後，噁意的.terraform.lock.hcl 文件會指向攻擊者控製的 Terraform Provider 域名，運行 terraform init 後卽可觸發噁意 Provider 模塊的下載與執行。

攻擊最終在受害者的 macOS 設備上部署 Rust/ARM64 後門 FLATROOF 和 ROOFDECK，這兩個噁意軟件家族此前也曾被用於 LayerZero 攻擊。其具備竊取憑証及敏感數據、執行 Shell 命令、收集並外傳文件，以及獲取雲服務和代碼倉庫訪問權限等能力。

SlowMist 提醒，TraderTraitor 此次攻擊目標已不限於加密行業，攻擊者可能更關注開發人員所擁有的 AWS、GCP、OVH 及 OpenStack 等雲端和 API 訪問權限。企業應謹慎處理陌生 Terraform Provider 及招聘方提供的代碼倉庫，並避免使用個人或公司開發設備執行未經驗証的面試項目。