Contagious Interview malver cilja developere

Uvod

Najnovije Microsoft istraživanje pretnji ukazuje na rastući rizik za organizacije koje zapošljavaju software developere: napadači sada zloupotrebljavaju sam proces zapošljavanja kao vektor početnog pristupa. Kampanja Contagious Interview pokazuje kako tehnički intervjui, coding izazovi i obraćanje regrutera mogu biti pretvoreni u oružje za kompromitovanje endpoint-a developera koji često imaju pristup source code-u, CI/CD pipeline-ovima, cloud okruženjima i privilegovanim tajnama.

Šta je novo

Microsoft navodi da je kampanja aktivna najmanje od decembra 2022. i da se i dalje otkriva u korisničkim okruženjima. Operacija prvenstveno cilja developere kod enterprise solution provajdera, kao i u medijskim i komunikacionim kompanijama.

Ključne uočene taktike uključuju:

• Lažno obraćanje regrutera uz predstavljanje kao kompanije iz oblasti kriptovaluta ili AI
• Zlonamerne code repozitorijume hostovane na GitHub, GitLab ili Bitbucket platformama
• Trojanizovane NPM pakete korišćene kao deo zadataka za rad od kuće ili coding testova
• Zloupotrebu Visual Studio Code task funkcionalnosti, gde poverenje prema autoru repozitorijuma može aktivirati zlonamerne task configuration fajlove
• Paste-and-run komande predstavljene kao rešenja za inscenirane tehničke probleme na lažnim sajtovima za intervju

Microsoft je takođe uočio više payload-a i backdoor-a povezanih sa kampanjom:

• Invisible Ferret: backdoor zasnovan na Python-u koji se koristi za daljinsko izvršavanje komandi, izviđanje i perzistenciju
• FlexibleFerret: modularni backdoor dostupan u Go i Python varijantama, sa podrškom za šifrovani C2, učitavanje plugina, eksfiltraciju, perzistenciju i lateralno kretanje

Zašto je ovo važno za IT administratore

Ova kampanja je značajna zato što cilja korisnike tokom poslovnog procesa sa visokim nivoom poverenja i pritiskom. Developeri će verovatnije izvršiti code, instalirati zavisnosti ili verovati repozitorijumima kada misle da učestvuju u legitimnom intervjuu.

Za timove odbrane, rizik je značajan:

• Mašine developera često čuvaju API ključeve, cloud kredencijale, sertifikate za potpisivanje i podatke iz password manager-a
• Kompromitovani endpoint-i mogu dovesti do krađe source code-a, kompromitovanja pipeline-a ili šireg pristupa cloud resursima
• Napadači se oslanjaju na legitimne alate i tokove rada, što detekciju čini težom nego kod tradicionalnih metoda isporuke malvera

Preporučeni sledeći koraci

Organizacije bi trebalo da tretiraju tokove rada u regrutaciji kao deo svoje površine napada.

Neposredne akcije

• Zahtevajte da se coding testovi i zadaci za rad od kuće izvršavaju u izolovanim, neperzistentnim okruženjima kao što su jednokratne VM instance
• Zabranite pokretanje code-a koji dostavljaju regruteri na primarnim korporativnim radnim stanicama
• Pregledajte svaki eksterni repozitorijum pre izvršavanja skripti, taskova ili instalacije zavisnosti
• Obučite developere da prepoznaju upozoravajuće znakove kao što su kratki linkovi, novi repo nalozi, neobični koraci za podešavanje ili zahtevi da veruju nepoznatim autorima

Bezbednosne kontrole koje treba pregledati

• Obezbedite da su tamper protection, real-time AV i endpoint ažuriranja omogućeni
• Ograničite scripting i runtime okruženja kao što su Node.js, Python i PowerShell gde god je to moguće
• Razmotrite application control kako biste blokirali izvršavanje iz foldera Downloads i temp
• Nadgledajte download-and-execute obrasce, sumnjivo ponašanje repozitorijuma i izlazni saobraćaj ka hostovima sa lošom reputacijom
• Smanjite izloženost tajni kroz kratkotrajne kredencijale, vault-based skladištenje i MFA

Contagious Interview je podsetnik da moderni napadi sve više iskorišćavaju poslovne tokove rada, a ne samo softverske ranjivosti. Za timove za bezbednost, zaštita developera sada znači i obezbeđivanje samog procesa intervjua.