Contagious Interview: malware que ataca desarrolladores

Introducción

La investigación de amenazas más reciente de Microsoft destaca un riesgo creciente para las organizaciones que emplean desarrolladores de software: los atacantes ahora están abusando del propio proceso de contratación como vector de acceso inicial. La campaña Contagious Interview muestra cómo las entrevistas técnicas, los coding challenges y el contacto de reclutadores pueden convertirse en armas para comprometer endpoints de desarrolladores que a menudo tienen acceso a source code, pipelines de CI/CD, entornos cloud y secretos con privilegios.

Novedades

Microsoft afirma que la campaña ha estado activa al menos desde diciembre de 2022 y que todavía se sigue detectando en entornos de clientes. La operación apunta principalmente a desarrolladores de proveedores de soluciones empresariales y de empresas de medios y comunicaciones.

Las tácticas clave observadas incluyen:

• Contacto falso de reclutadores que se hacen pasar por empresas de criptomonedas o de AI
• Repositorios de código maliciosos alojados en GitHub, GitLab o Bitbucket
• Paquetes NPM troyanizados usados como parte de evaluaciones para llevar a casa o coding tests
• Abuso de tareas de Visual Studio Code, donde confiar en el autor de un repositorio puede activar archivos de configuración de tareas maliciosos
• Comandos para copiar, pegar y ejecutar presentados como soluciones a problemas técnicos simulados en sitios falsos de entrevistas

Microsoft también observó varias cargas útiles y backdoors asociados con la campaña:

• Invisible Ferret: un backdoor basado en Python usado para ejecución remota de comandos, reconocimiento y persistencia
• FlexibleFerret: un backdoor modular disponible en variantes de Go y Python, con soporte para C2 cifrado, carga de plugins, exfiltración, persistencia y movimiento lateral

Por qué esto importa a los administradores de IT

Esta campaña es notable porque apunta a los usuarios durante un proceso de negocio de alta confianza y alta presión. Es más probable que los desarrolladores ejecuten código, instalen dependencias o confíen en repositorios cuando creen que están participando en una entrevista legítima.

Para los defensores, el riesgo es significativo:

• Las máquinas de los desarrolladores suelen almacenar API keys, credenciales cloud, certificados de firma y datos de gestores de contraseñas
• Los endpoints comprometidos pueden derivar en robo de source code, compromiso de pipelines o un acceso cloud más amplio
• Los atacantes están recurriendo a tooling y flujos de trabajo legítimos, lo que dificulta más la detección que los métodos tradicionales de entrega de malware

Próximos pasos recomendados

Las organizaciones deben tratar los flujos de trabajo de reclutamiento como parte de su superficie de ataque.

Acciones inmediatas

• Exigir que los coding tests y las asignaciones para llevar a casa se completen en entornos aislados y no persistentes como VMs desechables
• Prohibir la ejecución de código proporcionado por reclutadores en estaciones de trabajo corporativas principales
• Revisar cualquier repositorio externo antes de ejecutar scripts, tareas o instalaciones de dependencias
• Capacitar a los desarrolladores para identificar señales de alerta como enlaces cortos, cuentas de repositorios nuevas, pasos de configuración inusuales o solicitudes para confiar en autores desconocidos

Controles de seguridad que conviene revisar

• Asegurarse de que tamper protection, real-time AV y las actualizaciones de endpoint estén habilitados
• Restringir scripting y runtimes como Node.js, Python y PowerShell donde sea posible
• Considerar application control para bloquear la ejecución desde las carpetas Descargas y temporales
• Supervisar patrones de download-and-execute, comportamiento sospechoso de repositorios y tráfico saliente hacia hosts de baja reputación
• Reducir la exposición de secretos mediante credenciales de corta duración, almacenamiento basado en vault y MFA

Contagious Interview es un recordatorio de que los ataques modernos explotan cada vez más los flujos de trabajo del negocio, no solo las vulnerabilidades de software. Para los equipos de seguridad, proteger a los desarrolladores ahora también significa asegurar el proceso de entrevistas.