日常的に使われるTerraformコマンドが、開発者を狙う北朝鮮のハッカーにとって侵入口になりつつある。北朝鮮とつながりのある脅威アクターTraderTraitorは、採用面接の課題を装ったインフラプロジェクトを悪用し、候補者が実行するとコードを実行できる悪意あるプロバイダーを仕込んでいるterraform init.
SentinelOneは、暗号資産との関係がないインド拠点のITサービスプロバイダーでDevOpsエンジニアが使っていたApple Silicon搭載Macから、同グループのFLATROOFとROOFDECKというmacOS向けバックドアも発見した。影響を受けたマシンにはクラウド認証情報とソース管理へのアクセス権が保存され、AWS、OVH、OpenStackで日常的に使われていたため、攻撃者がエンドポイントの先へ侵入する経路となる可能性があった。
SentinelOneが実施した9月18日の調査によると、両方のバックドアは2026年3月18日までにすでにMacに入り込んでおり、Cursorがcloudshieldワークスペースを開いた後の3月29日にビーコン通信を開始した。開発者は、特定されたterraform-candidate-repoものを4月13日までクローンしなかったため、研究者は最初の感染がTerraformの誘いによるものだと結び付けられなかった。
Terraformの誘いに悪意あるプロバイダーを潜ませる
TraderTraitorが用意した偽の面接用リポジトリは、インフラエンジニアリングの評価課題に似ている。SentinelOneは、攻撃に利用された.terraform.lock.hclファイルを発見した。これらはTerraformを指示して、正規のHashiCorpインフラに見せかけた攻撃者管理下のプロバイダードメインへ接続させる。
開発者が実行するとterraform init、Terraformはプロジェクトで指定された悪意あるプロバイダーからコードをダウンロードして実行できる。この手法はTerraformの脆弱性を悪用するものではなく、通常の依存関係処理と、採用担当者から提供されたコードへの信頼を悪用している。
別の9月のインシデントは、侵害されたレジストリが悪意あるTerraformモジュールを配布できることを示した。これらのモジュールは、開発者環境からクラウド、CI/CD、SSHなどの認証情報を探し出していた。開発者ツールと自動化も、ソースコードや認証情報、デプロイシステムへの特権アクセスを保持している可能性がある。
FLATROOFはシェルコマンドを実行し、ブラウザデータ、ターミナル履歴、システム情報、およびコピーを収集できるlogin.keychain-db。ROOFDECKは偵察、リモートシェルアクセス、ファイル操作、永続化に加え、ラテラルムーブメントを支援できる機能を備えている。
FBIは約15億ドルの窃取を2025年2月にBybitから発生した事件について、TraderTraitorの名称で追跡している北朝鮮の活動によるものだとした。
開発者からクラウドへ至る攻撃経路を断つ
組織は、採用担当者から提供されたリポジトリやコーディング課題を、信頼できないコードとして扱うべきだ。特に、クラウドインフラ、ソースリポジトリ、CI/CDプラットフォームに接続できるシステムでは注意が必要だ。
- 見慣れないコーディング課題を隔離する。面接用プロジェクトは企業のワークステーションではなく、使い捨ての仮想マシンやサンドボックスで実行する。Microsoftは分離された環境を推奨している。これは見慣れないコーディングテストに適している。
- 実行前に依存関係を確認する。見慣れないプロジェクトを実行する前に、ロックファイル、プロバイダーのソース、レジストリドメイン、リポジトリのタスク、予期しないセットアップコマンドを確認する。
- 認証情報への露出を減らす。クラウド、ソース管理、CI/CD、管理システムには、最小権限と短期間のアクセスを適用する。最近のShai-Hulud npmサプライチェーン侵害は、侵害された開発者ワークフローによって複数のサービスにまたがる認証情報が露出し得ることを示している。
- 開発者のエンドポイントを監視する。IDEによるシェルの起動、予期しないバイナリ、新しいLaunch Agent、不審な外向き接続、通常とは異なるクラウドやリポジトリへのアクセスを検知したら警告する。
- エンジニアリングシステムを分離し、外向き通信を制限する。CISAのソフトウェアサプライチェーンガイダンスは、エンジニアリングネットワークの分離、サービスアカウントの最小化、ビルドパイプラインへのアクセスの記録を推奨している。
- インシデント対応計画をテストする。演習では、悪意あるリポジトリ、窃取されたクラウド認証情報、永続化、ラテラルムーブメントを扱うべきだ。エンドポイントの隔離、セッションの無効化、認証情報のローテーション、ログレビュー、脅威ハンティングも含める。
インドの被害者が最初に感染した経路は依然として不明だが、開発者のワークステーションはエンドポイントそのものをはるかに超えたアクセスを提供し得る。隔離、より厳格な権限設定、監視、そしてテスト済みの対応手順によって、その露出を抑えられる。
関連記事：初回アクセス後も開発環境は価値の高い標的であり、最近のAccenture侵害は、最初の侵害から長い時間が経過した後も、ソースコードとクラウド認証情報がセキュリティリスクを生み得ることを示している。