El malware oculto en las herramientas para desarrolladores que convirtió a los proveedores de Terraform en vías de ataque.

El malware se ha infiltrado en las herramientas que los desarrolladores utilizan para crear y gestionar infraestructuras en la nube. Una campaña vinculada a Graphalgo instaló un programa de acceso remoto en proveedores de Terraform y paquetes de software Go, convirtiendo el trabajo de desarrollo rutinario en una posible vía de acceso a máquinas valiosas.

Los paquetes no se comportaban como descargas maliciosas evidentes. Algunos esperaban ciertas entradas antes de ejecutar código oculto, lo que dificultaba su detección mediante pruebas casuales.

El peligro recuerda a ataques anteriores que utilizaban pruebas falsas de trabajos de Terraform, aunque esta campaña empleó sus propios paquetes y métodos maliciosos. Los analistas de Aikido identificaron las variantes de Terraform y Go.

Aikido afirmó en un informe compartido con Cyber ​​Security News (CSN) que esta era la primera vez que sus investigadores observaban malware distribuido a través de proveedores de Terraform.

Conectaron la versión de Go con la actividad de Graphalgo previamente detectada en paquetes npm. La huella conocida parece limitada, no generalizada.

Los investigadores contabilizaron 18 nombres de host distintos en los mensajes de registro, incluyendo tres sistemas Windows, cinco sistemas Linux y 10 Mac. Esos registros no demuestran cuántas organizaciones se vieron afectadas, pero sí muestran que la operación llegó a máquinas reales.