Contagious Interview-malware rammer udviklere

Introduktion

Microsofts seneste threat research fremhæver en voksende risiko for organisationer, der beskæftiger softwareudviklere: Angribere misbruger nu selve ansættelsesprocessen som en initial access-vektor. Contagious Interview-kampagnen viser, hvordan tekniske interviews, coding challenges og henvendelser fra rekrutteringsfolk kan bruges som våben til at kompromittere udvikleres endpoints, som ofte har adgang til source code, CI/CD-pipelines, cloud-miljøer og privilegerede secrets.

Hvad er nyt

Microsoft oplyser, at kampagnen har været aktiv siden mindst december 2022 og stadig bliver opdaget i kundemiljøer. Operationen målretter primært udviklere hos enterprise solution providers samt virksomheder inden for media og communications.

Observerede nøglemetoder omfatter:

• Falsk kontakt fra rekrutteringsfolk, der udgiver sig for at være cryptocurrency- eller AI-firmaer
• Ondsindede code repositories hostet på GitHub, GitLab eller Bitbucket
• Trojanized NPM packages brugt som en del af take-home assessments eller kodetest
• Misbrug af tasks i Visual Studio Code, hvor tillid til en repository-forfatter kan udløse ondsindede task configuration files
• Paste-and-run-kommandoer præsenteret som løsninger på opstillede tekniske problemer på falske interviewsider

Microsoft observerede også flere payloads og backdoors forbundet med kampagnen:

• Invisible Ferret: en Python-baseret backdoor brugt til fjernkommandoeksekvering, reconnaissance og persistence
• FlexibleFerret: en modulær backdoor, der findes i Go- og Python-varianter og understøtter krypteret C2, plugin loading, exfiltration, persistence og lateral movement

Hvorfor det er vigtigt for IT-administratorer

Denne kampagne er bemærkelsesværdig, fordi den målretter brugere under en forretningsproces med høj tillid og højt pres. Udviklere er mere tilbøjelige til at eksekvere kode, installere dependencies eller stole på repositories, når de tror, at de deltager i et legitimt interview.

For forsvarere er risikoen betydelig:

• Udviklermaskiner gemmer ofte API-nøgler, cloud credentials, signing certificates og data fra password managers
• Kompromitterede endpoints kan føre til tyveri af source code, kompromittering af pipelines eller bredere cloud-adgang
• Angribere benytter sig af legitime værktøjer og workflows, hvilket gør det sværere at opdage end traditionelle malware-leveringsmetoder

Anbefalede næste skridt

Organisationer bør betragte rekrutteringsworkflows som en del af deres attack surface.

Øjeblikkelige handlinger

• Kræv, at kodetest og take-home assignments gennemføres i isolerede, ikke-persistente miljøer såsom engangs-VM’er
• Forbyd kørsel af kode leveret af rekrutteringsfolk på primære virksomhedsarbejdsstationer
• Gennemgå ethvert eksternt repository, før scripts, tasks eller installation af dependencies eksekveres
• Træn udviklere i at identificere advarselsflag såsom short links, nye repo-konti, usædvanlige opsætningstrin eller anmodninger om at stole på ukendte forfattere

Sikkerhedskontroller, der bør gennemgås

• Sørg for, at tamper protection, realtids-AV og endpoint-opdateringer er aktiveret
• Begræns scripting og runtimes såsom Node.js, Python og PowerShell, hvor det er muligt
• Overvej application control for at blokere eksekvering fra Downloads- og temp-mapper
• Overvåg for download-and-execute-mønstre, mistænkelig repository-adfærd og udgående trafik til hosts med lav troværdighed
• Reducer eksponeringen af secrets gennem kortlivede credentials, vault-baseret lagring og MFA

Contagious Interview er en påmindelse om, at moderne angreb i stigende grad udnytter forretningsworkflows, ikke kun software vulnerabilities. For sikkerhedsteams betyder beskyttelse af udviklere nu også at sikre selve interviewprocessen.