Microsoft: кампания Contagious Interview против разработчиков

Введение

Последнее исследование угроз Microsoft подчеркивает растущий риск для организаций, в которых работают разработчики ПО: злоумышленники начали использовать сам процесс найма как вектор первоначального доступа. Кампания Contagious Interview показывает, как технические интервью, задания по программированию и обращения от рекрутеров могут быть превращены в инструмент компрометации конечных точек разработчиков, которые часто имеют доступ к исходному коду, CI/CD-конвейерам, облачным средам и привилегированным секретам.

Что нового

По данным Microsoft, кампания активна как минимум с декабря 2022 года и по-прежнему фиксируется в средах клиентов. В первую очередь операция нацелена на разработчиков в компаниях — поставщиках корпоративных решений, а также в медиа- и телекоммуникационных фирмах.

Среди наблюдаемых тактик:

• Поддельные обращения от рекрутеров, выдающих себя за представителей криптовалютных или AI-компаний
• Вредоносные репозитории с кодом, размещенные на GitHub, GitLab или Bitbucket
• Троянизированные NPM-пакеты, используемые в составе домашних заданий или тестов по программированию
• Злоупотребление задачами Visual Studio Code, когда доверие к автору репозитория может запускать вредоносные файлы конфигурации задач
• Команды в формате copy-paste с последующим выполнением, представляемые как исправления инсценированных технических проблем на поддельных сайтах для интервью

Microsoft также зафиксировала несколько полезных нагрузок и бэкдоров, связанных с этой кампанией:

• Invisible Ferret: бэкдор на основе Python, используемый для удаленного выполнения команд, разведки и закрепления
• FlexibleFerret: модульный бэкдор в вариантах на Go и Python, поддерживающий зашифрованный C2, загрузку плагинов, эксфильтрацию данных, закрепление и латеральное перемещение

Почему это важно для IT-администраторов

Эта кампания примечательна тем, что нацелена на пользователей во время бизнес-процесса с высоким уровнем доверия и давления. Разработчики с большей вероятностью будут запускать код, устанавливать зависимости или доверять репозиториям, если считают, что участвуют в легитимном интервью.

Для защитников риск значителен:

• На машинах разработчиков часто хранятся API-ключи, облачные учетные данные, сертификаты подписи и данные менеджеров паролей
• Скомпрометированные конечные точки могут привести к краже исходного кода, компрометации конвейеров или более широкому доступу к облачной инфраструктуре
• Злоумышленники опираются на легитимные инструменты и рабочие процессы, из-за чего обнаружение становится сложнее, чем при традиционных методах доставки вредоносного ПО

Рекомендуемые следующие шаги

Организациям следует рассматривать процессы найма как часть своей поверхности атаки.

Немедленные действия

• Требовать, чтобы тесты по программированию и домашние задания выполнялись в изолированных, непостоянных средах, например в одноразовых VM
• Запретить запуск кода, предоставленного рекрутерами, на основных корпоративных рабочих станциях
• Проверять любой внешний репозиторий перед выполнением скриптов, задач или установкой зависимостей
• Обучать разработчиков распознавать тревожные признаки, такие как короткие ссылки, новые учетные записи репозиториев, необычные шаги настройки или просьбы доверять неизвестным авторам

Средства безопасности, которые стоит пересмотреть

• Убедиться, что включены tamper protection, AV в реальном времени и обновления конечных точек
• По возможности ограничить использование скриптов и сред выполнения, таких как Node.js, Python и PowerShell
• Рассмотреть application control для блокировки выполнения из папок Downloads и временных каталогов
• Отслеживать паттерны download-and-execute, подозрительное поведение репозиториев и исходящий трафик к хостам с низкой репутацией
• Сократить доступность секретов за счет краткоживущих учетных данных, хранения в vault и MFA

Contagious Interview напоминает, что современные атаки все чаще эксплуатируют бизнес-процессы, а не только уязвимости ПО. Для команд безопасности защита разработчиков теперь означает и защиту самого процесса собеседования.