Cảnh báo chiến dịch tấn công chuỗi cung ứng nhắm vào Terraform Provider

Một chiến dịch tấn công chuỗi cung ứng mới vừa được các chuyên gia an ninh mạng xác định, trong đó kẻ tấn công lợi dụng các quy trình làm việc của Terraform để lây nhiễm mã độc lên hệ thống của các nhà phát triển.

Phương thức lây nhiễm và giả mạo Provider

Hoạt động này sử dụng một Terraform provider đã bị trojan hóa, ngụy trang dưới dạng một plugin liên quan đến AWS, cho phép thực thi mã độc trong khi vẫn duy trì hành vi của một provider hợp lệ. Chiến dịch này gây ra mối lo ngại lớn cho các kỹ sư cloud, đội ngũ DevOps và các nhà phát triển trong lĩnh vực tiền điện tử hoặc Web3, do Terraform provider thường chạy trên máy trạm và hệ thống CI/CD nơi lưu trữ nhiều quyền hạn quan trọng.

Các nhà nghiên cứu từ Zscaler ThreatLabz đã xác định chiến dịch này vào tháng 7 năm 2026 và liên kết các công cụ với hoạt động của nhóm TraderTraitor, dù chưa có đủ bằng chứng tuyệt đối để khẳng định thủ phạm. Tệp tin ban đầu mang tên terraform-provider-awsbeta_v1.0.0, viết bằng Go, chứa cấu trúc của một provider thực thụ kết hợp gói mã độc tự động kích hoạt khi tải.

Cơ chế hoạt động của mã độc và Bash loader

Provider giả mạo kiểm tra tệp session.lock trong thư mục tạm để tránh thực thi trùng lặp, sau đó tải xuống Bash loader có tên safari_updater. Loader này kiểm tra hệ điều hành và kiến trúc CPU, hỗ trợ macOS, Linux và Windows sử dụng các shell tương thích Unix.

Các payload tiếp theo được ngụy trang dưới dạng tệp font web.woff để qua mặt các bước kiểm tra nhanh. Dữ liệu ẩn bên trong được giải mã bằng Base64 và AES-256-CBC, sử dụng các công cụ sẵn có trên thiết bị như Python, Node.js, Perl hoặc OpenSSL. Trên macOS, mã độc còn loại bỏ thuộc tính kiểm dịch để tránh cảnh báo từ Gatekeeper.

Backdoor và khả năng đánh cắp dữ liệu

Mã độc được phân phối là FLATROOF, một backdoor dựa trên Rust hỗ trợ nhiều hệ điều hành. Backdoor này có thể thiết lập tính kiên trì, thu thập thông tin hệ thống, quản lý tệp và tải xuống payload bổ sung. Các công cụ đánh cắp dữ liệu đi kèm nhắm vào thông tin xác thực trình duyệt Chromium, Firefox, Windows Credential Manager và dữ liệu từ các ví tiền điện tử phổ biến như MetaMask, Phantom, Trust Wallet và Rabby.

Bên cạnh đó, chiến dịch còn triển khai ROOFDECK, một backdoor mạnh mẽ cho Windows và macOS với khả năng điều khiển từ xa, đọc ghi clipboard và khám phá máy chủ C2 thông qua tệp cấu hình cục bộ, Pastebin hoặc siêu dữ liệu hồ sơ Nostr.

Khuyến nghị bảo mật

Các đội ngũ bảo mật cần giám sát chặt chẽ các tiến trình Terraform khởi chạy shell, các tệp tin bất thường trong thư mục tạm, tệp .woff và các tệp thực thi chạy từ thư mục người dùng. Việc áp dụng các thực hành CI/CD an toàn và quét tự động trước khi triển khai hạ tầng là vô cùng cần thiết để giảm thiểu rủi ro.