Skadevare spres via Terraform-registeret for første gang, forkledd som Docker-provider

1449 og 222 nedlastinger hadde henholdsvis kreuzwenker/docker og gocommunity-io/dockerd da The Hacker News omtalte funnet. Aikido Security skriver at det er første gang selskapet har sett skadevare distribuert via Terraform-providere. Den første er en typosquat av kreuzwerker/docker, som har 56 millioner rapporterte nedlastinger, og forskjellen er én bokstav. Samme skadevare lå i Go-modulene gocommunity.io/orderedbtree og gogets.dev/btreex.

Providerne gjør ingenting mistenkelig før en bestemt betingelse slår til. En skjult inngang i resource_docker_container_funcs.go aktiveres bare når SHA256 av Terraform-variablene containerName og networkID matcher en bestemt hash. Hashen er AES-nøkkelen som dekrypterer en ZIP-fil forkledd som import-resource.sqlite3, og koden startes med en løsrevet go run .. Andre trinn er en fjernstyringsagent med to kontrollkanaler: en Slack-bot som polles hvert 10. sekund og en smartkontrakt på Arbitrum Sepolia-testnettet som polles hvert 3. sekund. Begge kan sende ny Go- eller JavaScript-kode til kjøring.

Skadevaren er en Go-port av Graphalgo, en npm-kampanje ReversingLabs beskrev i februar 2026 og som knyttes til nordkoreanske aktører. Gogets.dev/btreex forfalsket commit-datoer tilbake til november 2025, og fordi Go-modulsystemet stoler på commit-datoen, viser pkg.go.dev feil utgivelsesdato. Omfanget ser lite ut: Aikido fant 18 unike vertsnavn i angriperens Slack-kanal, 10 av dem på macOS.

«Det er for tidlig å konkludere sikkert med at DPRK-tilknyttede trusselaktører bruker Terraform-registre som en ny distribusjonstaktikk» — Karlo Zanki, Socket, til The Hacker News

Terraform kjører der sky-nøklene bor, så en infisert provider gir kortere vei til produksjon enn en vanlig npm-pakke. Aikido skriver selv at selskapets overvåking ennå ikke dekker Terraform-registeret.

Hva bør du gjøre?

1. Søk etter de fire pakkenavnene i .terraform.lock.hcl, go.sum og på CI-runnerne. Sjekk at Docker-provideren din heter kreuzwerker, ikke kreuzwenker.
2. Fant du en av dem: isoler maskinen, roter alle nøkler som har vært på den (sky, GitHub, GitLab, publiseringstokener og SSH) og reinstaller. Å slette pakken holder ikke, fordi andre trinn kjører som egen prosess.
3. Har dere ikke forretningsbehov for blokkjeder, sett opp varsling på trafikk mot HTTP-baserte blokkjede-tjenester, slik Aikido anbefaler.