Злоумышленники взломали инфраструктуру Cloudflare компании Coder, добавив несанкционированные серверы реестра, которые доставляли вредоносные модули Terraform, содержащие код для кражи учетных данных. Платформа Coder реализует разработчикам безопасные, самостоятельно размещаемые облачные среды разработки для создания и развертывания ПО, включая приложения ИИ. Проект используется ведущими частными и государственными организациями, включая Dropbox, Palantir, Square, Mercedes-Benz, KKR, EnBW, правительство США и оборонные компании. Ранее на этой неделе Coder сообщила, что злоумышленник атаковал registry.coder.com, сайт проекта, на котором разработчики размещают пакеты для получения компонентов для своих шаблонов рабочих областей. Несмотря на то, что реестр Coder работает за Cloudflare, злоумышленник получил доступ к его базовой инфраструктуре и добавил левые IP-адреса в пул, используемый для регистрации модулей Coder. Период доставки вредоносного кода пришелся на 31 августа, с 07:35 до 21:45 UTC. В результате Cloudflare перенаправляла часть запросов к реестру на серверы злоумышленника, а не на легитимные серверы Coder, доставляя вредоносные файлы для некоторых пользователей. Вредоносные серверы распространяли модифицированные версии модулей Terraform, представляющих собой готовые наборы инструкций для создания и настройки вычислительной инфраструктуры. По данным Coder, вредоносные модули действовали как стилеры на зараженных хостах, осуществляя поиск переменных среды и секретов поставщика услуг, ключи API для облачной инфраструктуры и инструментов ИИ, учетные данные CI/CD, секреты конфигурационного файла и история терминала, пользовательские токены OIDC, настроенные SSH-ключи, одноразовые внешние токены аутентификации и пароли к базе данных Coder. Собранная информация передавалась на схожий домен coder-infra[.]com. Потенциально затронутым пользоватям следует как можно скорее заменить все секреты. Перед обновлением до исправленных версий 2.37.0, 2.36.4, 2.35.7 и 2.34.9 Coder рекомендует проверить журналы потоков брандмауэра, прокси-сервера, DNS и VPC на предмет подключений к coder-infra[.]com. Разработчикам также следует просмотреть журналы поставщика услуг на наличие данных data.external.telemetry, определить модули, загруженные в течение периода воздействия, и удалить потенциально вредоносные кэшированные пакеты. Кроме того, Coder представила SQL-запрос, который поможет выявить потенциально затронутые кэшированные модули и версии шаблонов. В Coder отмечают, что токены обновления не передавались поставщику услуг и что нет никаких доказательств какого-либо влияния на хранящиеся у него данные клиентов. Однако, поскольку инфраструктура злоумышленника находится вне контроля проекта, Coder не имеет доступа к важным журналам и не может однозначно идентифицировать каждое скомпрометированное развертывание.