Hackers aprovechan flujos de trabajo confiables de Terraform para infectar sistemas de desarrolladores con malware multiplataforma

Una campaña de cadena de suministro recientemente identificada está abusando de los flujos de trabajo de los proveedores de Terraform para infectar los sistemas de los desarrolladores con malware creado para macOS, Linux y Windows. La actividad utiliza un proveedor de Terraform troyano que parece ser un complemento legítimo relacionado con AWS, lo que le permite ejecutar código malicioso mientras se comporta como un proveedor normal.

La campaña es una preocupación importante para los ingenieros de la nube, los equipos de DevOps y los desarrolladores de criptomonedas o Web3 porque los proveedores de Terraform se ejecutan en estaciones de trabajo y sistemas CI/CD que pueden contener acceso al código fuente, credenciales de la nube, claves API, permisos de implementación y datos de inicio de sesión almacenados en el navegador. El caso sigue de cerca los informes anteriores sobre las pruebas de trabajo falsas de Terraform utilizadas para comprometer a los desarrolladores a través de proyectos de infraestructura de aspecto confiable. Los investigadores de Zscaler ThreatLabz identificaron la campaña de malware en julio de 2026 y vincularon sus herramientas y patrones de segmentación con la sospecha de actividad de TraderTraitor. Hackers abusan de los flujos de trabajo de Terraform de confianza El proveedor busca un archivo session.lock en el directorio temporal, descarga un cargador Bash si ese archivo está ausente, lo ejecuta en segundo plano y luego crea el archivo lock para evitar que se ejecute dos veces.

En macOS, también elimina el atributo de cuarentena y aplica una firma de código ad hoc antes de la ejecución, lo que ayuda a que el malware se ejecute sin las advertencias normales de Gatekeeper. El malware entregado se evalúa como FLATROOF, una backdoor basada en Rust que admite los tres principales sistemas operativos de escritorio.

Consultar publicación original ↗