북한 연계 해커 TraderTraitor가 악성 Terraform 프로젝트를 이용해 새로운 공격을 감행했다

BlockBeats 소식에 따르면, 9월 22일 SlowMist가 공개한 바에 따르면 북한 연계 위협 조직 TraderTraitor(일명 UNC4899, Jade Sleet)가 다시 공격을 감행하여 최근 인도에 위치한 암호화폐 업계와 무관한 IT 서비스 기업을 침해했습니다.

공격자는 GitHub를 통해 허위 채용 정보를 게시하고 '기술 면접 과제'를 미끼로 DevOps 및 암호화폐 엔지니어를 대상으로 피싱 공격을 전개했습니다. 피해자가 관련 프로젝트를 다운로드하면 악성 .terraform.lock.hcl 파일이 공격자가 제어하는 Terraform Provider 도메인을 가리키게 되며, terraform init을 실행하면 악성 Provider 모듈의 다운로드 및 실행이 촉발됩니다.

공격은 최종적으로 피해자의 macOS 기기에 Rust/ARM64 백도어 FLATROOF와 ROOFDECK을 배포했으며, 이 두 악성코드 패밀리는 이전에 LayerZero 공격에도 사용된 바 있습니다. 이들은 자격 증명 및 민감 데이터 탈취, Shell 명령 실행, 파일 수집 및 외부 전송, 그리고 클라우드 서비스 및 코드 저장소 접근 권한 획득 등의 능력을 갖추고 있습니다.

SlowMist는 TraderTraitor의 이번 공격 대상이 암호화폐 업계에 국한되지 않으며, 공격자가 개발자가 보유한 AWS, GCP, OVH 및 OpenStack 등 클라우드 및 API 접근 권한에 더 주목할 가능성이 있다고 경고했습니다. 기업은 낯선 Terraform Provider 및 채용 담당자가 제공한 코드 저장소를 신중하게 처리하고, 개인 또는 회사 개발 기기로 검증되지 않은 면접 프로젝트를 실행하는 것을 피해야 합니다.