Złośliwe providery Terraform w rejestrze HashiCorp roznoszą malware kampanii Graphalgo

Aikido wykrył dwa złośliwe providery Terraform i dwa moduły Go, które rozsyłały malware napisane w Go przez rejestr HashiCorp. To pierwszy przypadek użycia tego centralnego repozytorium do dystrybucji szkodliwego kodu. Malware pokrywa się z kampanią Graphalgo, opisaną w lutym przez ReversingLabs i przypisywaną Korei Północnej. W tym tygodniu Checkmarx, JFrog i SafeDep wskazali też nowe złośliwe pakiety npm z tym samym malware. Według JFrog ładunek odszyfrowuje się dopiero, gdy ofiara rozwiąże układ równań z jedną konkretną macierzą. Polecenia pobiera z kontraktu w sieci testowej Ethereum Sepolia, drugi kanał sterowania utrzymuje przez Slacka, a liczniki pobrań pompuje farma zadań GitHub Actions. Funkcje zaszyfrowanego ładunku pozostają nieznane.

Kogo dotyczy

Programistów, do których przez LinkedIn, Facebook lub fora zwracają się osoby podszywające się pod nieistniejące firmy Web3 z ofertą pracy. Kandydat dostaje zadanie rekrutacyjne w repozytorium GitHub, a złośliwy kod wchodzi przez zależność opublikowaną w npm lub PyPI.