Contagious Interview Malware greift Entwickler an

Einführung

Microsofts aktuelle Bedrohungsforschung hebt ein wachsendes Risiko für Unternehmen hervor, die Softwareentwickler beschäftigen: Angreifer missbrauchen inzwischen den Einstellungsprozess selbst als Vektor für den Erstzugriff. Die Kampagne Contagious Interview zeigt, wie technische Interviews, Coding-Challenges und die Ansprache durch Recruiter als Waffe genutzt werden können, um Entwickler-Endpunkte zu kompromittieren, die häufig Zugriff auf Source Code, CI/CD-Pipelines, Cloud-Umgebungen und privilegierte Secrets haben.

Was ist neu

Microsoft zufolge ist die Kampagne seit mindestens Dezember 2022 aktiv und wird weiterhin in Kundenumgebungen erkannt. Die Operation zielt in erster Linie auf Entwickler bei Anbietern von Enterprise-Lösungen sowie bei Medien- und Kommunikationsunternehmen ab.

Beobachtete zentrale Taktiken sind unter anderem:

• Gefälschte Recruiter-Ansprache unter dem Deckmantel von Kryptowährungs- oder AI-Unternehmen
• Bösartige Code-Repositories auf GitHub, GitLab oder Bitbucket
• Trojanisierte NPM-Pakete, die als Teil von Take-Home-Assessments oder Coding-Tests verwendet werden
• Missbrauch von Visual Studio Code-Tasks, bei dem das Vertrauen in einen Repository-Autor bösartige Task-Konfigurationsdateien auslösen kann
• Paste-and-run-Befehle, die auf gefälschten Interview-Websites als Lösung für inszenierte technische Probleme präsentiert werden

Microsoft beobachtete außerdem mehrere Payloads und Backdoors, die mit der Kampagne in Verbindung stehen:

• Invisible Ferret: eine Python-basierte Backdoor für die Remote-Ausführung von Befehlen, Reconnaissance und Persistenz
• FlexibleFerret: eine modulare Backdoor in Varianten für Go und Python, mit Unterstützung für verschlüsseltes C2, das Laden von Plugins, Exfiltration, Persistenz und laterale Bewegung

Warum das für IT-Admins wichtig ist

Diese Kampagne ist besonders bemerkenswert, weil sie Nutzer während eines Geschäftsprozesses mit hohem Vertrauen und hohem Druck angreift. Entwickler führen mit höherer Wahrscheinlichkeit Code aus, installieren Abhängigkeiten oder vertrauen Repositories, wenn sie glauben, an einem legitimen Interview teilzunehmen.

Für Verteidiger ist das Risiko erheblich:

• Entwicklergeräte speichern häufig API keys, Cloud-Anmeldedaten, Signaturzertifikate und Passwortmanager-Daten
• Kompromittierte Endpunkte können zu Source-Code-Diebstahl, einer Kompromittierung von Pipelines oder breiterem Cloud-Zugriff führen
• Angreifer verlassen sich auf legitime Tools und Workflows, was die Erkennung schwieriger macht als bei herkömmlichen Methoden zur Malware-Verteilung

Empfohlene nächste Schritte

Unternehmen sollten Recruiting-Workflows als Teil ihrer Angriffsfläche betrachten.

Sofortmaßnahmen

• Coding-Tests und Take-Home-Aufgaben sollten in isolierten, nicht persistenten Umgebungen wie wegwerfbaren VMs durchgeführt werden
• Das Ausführen von durch Recruiter bereitgestelltem Code auf primären Unternehmens-Workstations sollte untersagt werden
• Jedes externe Repository sollte geprüft werden, bevor Skripte, Tasks oder die Installation von Abhängigkeiten ausgeführt werden
• Entwickler sollten darin geschult werden, Warnsignale wie Short Links, neue Repo-Accounts, ungewöhnliche Einrichtungsschritte oder Aufforderungen, unbekannten Autoren zu vertrauen zu erkennen

Zu überprüfende Sicherheitskontrollen

• Stellen Sie sicher, dass Tamper Protection, Echtzeit-AV und Endpoint-Updates aktiviert sind
• Beschränken Sie, wo möglich, Scripting und Runtimes wie Node.js, Python und PowerShell
• Ziehen Sie Application Control in Betracht, um die Ausführung aus Download- und Temp-Ordnern zu blockieren
• Überwachen Sie Download-and-execute-Muster, verdächtiges Repository-Verhalten und ausgehenden Traffic zu Hosts mit geringer Reputation
• Reduzieren Sie die Exponierung von Secrets durch kurzlebige Anmeldedaten, Vault-basierte Speicherung und MFA

Contagious Interview erinnert daran, dass moderne Angriffe zunehmend Geschäftsabläufe ausnutzen und nicht nur Software-Schwachstellen. Für Security-Teams bedeutet der Schutz von Entwicklern heute daher auch, den Interview-Prozess abzusichern.