Contagious Interview: malware atakuje programistów

Wprowadzenie

Najnowsze badania Microsoft dotyczące zagrożeń podkreślają rosnące ryzyko dla organizacji zatrudniających programistów: atakujący zaczęli wykorzystywać sam proces rekrutacji jako wektor uzyskania początkowego dostępu. Kampania Contagious Interview pokazuje, jak rozmowy techniczne, zadania programistyczne i kontakt ze strony rekruterów mogą zostać użyte do kompromitacji endpointów deweloperskich, które często mają dostęp do kodu źródłowego, pipeline’ów CI/CD, środowisk chmurowych i uprzywilejowanych sekretów.

Co nowego

Microsoft twierdzi, że kampania jest aktywna co najmniej od grudnia 2022 r. i nadal jest wykrywana w środowiskach klientów. Operacja jest skierowana przede wszystkim do programistów pracujących u dostawców rozwiązań dla przedsiębiorstw oraz w firmach z branży mediów i komunikacji.

Zaobserwowane kluczowe techniki obejmują:

• Fałszywy kontakt ze strony rekruterów podszywających się pod firmy z branży kryptowalut lub AI
• Złośliwe repozytoria kodu hostowane w GitHub, GitLab lub Bitbucket
• Strojanizowane pakiety NPM używane w ramach zadań domowych lub testów programistycznych
• Nadużycie zadań Visual Studio Code, gdzie zaufanie autorowi repozytorium może uruchomić złośliwe pliki konfiguracji zadań
• Polecenia typu paste-and-run przedstawiane jako poprawki dla upozorowanych problemów technicznych na fałszywych stronach interview

Microsoft zaobserwował również kilka ładunków i backdoorów powiązanych z kampanią:

• Invisible Ferret: backdoor oparty na Python, używany do zdalnego wykonywania poleceń, rekonesansu i utrzymywania trwałości
• FlexibleFerret: modułowy backdoor dostępny w wariantach Go i Python, obsługujący szyfrowany C2, ładowanie wtyczek, eksfiltrację, trwałość i ruch lateralny

Dlaczego ma to znaczenie dla administratorów IT

Ta kampania jest szczególnie istotna, ponieważ atakuje użytkowników podczas procesu biznesowego o wysokim poziomie zaufania i presji. Programiści są bardziej skłonni do uruchamiania kodu, instalowania zależności lub ufania repozytoriom, gdy są przekonani, że uczestniczą w legalnej rozmowie rekrutacyjnej.

Dla obrońców ryzyko jest znaczące:

• Maszyny deweloperskie często przechowują klucze API, poświadczenia chmurowe, certyfikaty do podpisywania i dane menedżerów haseł
• Przejęte endpointy mogą prowadzić do kradzieży kodu źródłowego, kompromitacji pipeline’ów lub szerszego dostępu do chmury
• Atakujący polegają na legalnych narzędziach i przepływach pracy, co utrudnia wykrywanie w porównaniu z tradycyjnymi metodami dostarczania malware

Zalecane kolejne kroki

Organizacje powinny traktować procesy rekrutacyjne jako część swojej powierzchni ataku.

Działania natychmiastowe

• Wymagaj, aby testy programistyczne i zadania domowe były wykonywane w izolowanych, nietrwałych środowiskach, takich jak jednorazowe VM
• Zabroń uruchamiania kodu dostarczonego przez rekruterów na podstawowych firmowych stacjach roboczych
• Przeglądaj każde zewnętrzne repozytorium przed uruchomieniem skryptów, zadań lub instalacją zależności
• Szkol programistów, aby rozpoznawali sygnały ostrzegawcze, takie jak krótkie linki, nowe konta repozytoriów, nietypowe kroki konfiguracji lub prośby o zaufanie nieznanym autorom

Mechanizmy bezpieczeństwa do przeglądu

• Upewnij się, że ochrona przed manipulacją, AV w czasie rzeczywistym oraz aktualizacje endpointów są włączone
• Ogranicz skrypty i runtime’y, takie jak Node.js, Python i PowerShell, tam gdzie to możliwe
• Rozważ kontrolę aplikacji, aby blokować uruchamianie z folderów Downloads i folderów tymczasowych
• Monitoruj wzorce download-and-execute, podejrzane zachowania repozytoriów oraz ruch wychodzący do hostów o niskiej reputacji
• Ogranicz ekspozycję sekretów poprzez krótkotrwałe poświadczenia, przechowywanie oparte na vault i MFA

Contagious Interview przypomina, że nowoczesne ataki coraz częściej wykorzystują procesy biznesowe, a nie tylko luki w oprogramowaniu. Dla zespołów bezpieczeństwa ochrona programistów oznacza dziś również zabezpieczenie samego procesu interview.