TraderTraitor esce dal crypto: backdoor macOS trovate in un'azienda IT indiana

SentinelOne ha identificato una nuova vittima dell'APT TraderTraitor, gruppo attribuito alla Corea del Nord: un'azienda di servizi IT con sede in India, senza alcun legame con il trading di criptovalute. Il compromesso, documentato il 18 marzo 2026, riporta in campo le stesse backdoor macOS FLATROOF e ROOFDECK già osservate nell'attacco a LayerZero. La scopota indica che il perimetro di targeting degli APT nordcoreani si sta espandendo oltre il settore finanziario, con il laptop dello sviluppatore che diventa il nuovo punto di ingresso privilegiato.

La vittima: servizi IT, zero crypto

A differenza del caso LayerZero, la nuova vittima identificata da SentinelOne appartiene a un settore del tutto diverso. "Unlike the previous high-profile victim, this target was a much smaller organization in the IT services industry", annotano gli analisti. L'assenza di legami con le criptovalute smonta l'ipotesi che TraderTraitor operi esclusivamente contro obiettivi finanziari ad alto ritorno. Il gruppo sta apparentemente testando un modello di targeting più ampio, dove il valore non risiede nell'azienda in sé ma in ciò che i suoi dispositivi possono raggiungere. Come sintetizza SentinelOne: "the value of the target is whatever their laptop can reach".

La vittima era equipaggiata con un Apple Silicon MacBook, tipico dell'ambiente DevOps. La telemetria di SentinelOne ha rilevato entrambi i backdoor in una directory nascosta sotto ~/Library/com.apple.iTunesCloud/ e ~/com.apple.internal.ck/, path identici a quelli osservati nel compromesso LayerZero.

Il meccanismo di delivery: Terraform come vettore di supply chain

L'infezione ha seguito uno schema riconducibile alla campagna "Contagious Interview" già documentata da SentinelOne, con un'aggiunta tecnica significativa. I profili GitHub dei candidati targetizzati erano orientati a DevOps o a progetti di ingegneria crypto/FinTech. I repository contenevano file .terraform.lock.hcl manipolati: questi file, normalmente deputati a garantire l'integrità dei provider Terraform, sono stati weaponizzati per puntare a domini di registry custom controllati dall'attaccante.

Sono stati identificati tre domini di provider malevoli distribuiti su repository multipli. L'esecuzione di terraform init scaricava ed eseguiva il modulo malevolo, installando i backdoor sul sistema della vittima. Il meccanismo sfrutta la fiducia implicita che gli sviluppatori ripongono nei lock file: un pattern che trasforma uno strumento di auditabilità infrastrutturale in vettore di compromesso.

Un dettaglio raccolto da SentinelOne illustra la tensione tra consapevolezza e inganno: in un caso, il candidato intervistato aveva aggiunto una nota indicando di aver rimosso un provider typosquatted dal lock file originale, "which may suggest they thought the interviewer was testing for their security awareness". La manovra, apparentemente prudente, non ha comunque neutralizzato la minaccia.

Il gating su Cursor: beaconing condizionato all'attività dell'utente

Le backdoor erano presenti su disco già dal 18 marzo 2026. L'esecuzione è però iniziata solo l'11 giorni dopo, alle 05:00:53 UTC del 29 marzo 2026, con un dettaglio insolito: i due impianti sono stati lanciati dall'IDE Cursor. Dai 30 marzo al 19 aprile 2026, FLATROOF e ROOFDECK hanno beaconato esclusivamente durante le sessioni Cursor, restando inattivi quando l'IDE era chiuso.

Questo gating comportamentale rappresenta un'evoluzione dell'evasione. Il backdoor si mimetizza nel traffico di sviluppo normale, sfruttando la frequenza delle connessioni di rete generate da un IDE AI-assisted per mascherare le comunicazioni con il C2. L'operatore attivo sulla macchina, un DevOps engineer, forniva inconsapevolmente la copertura operativa necessaria.

FLATROOF — noto anche come macOS.Gaslight — è un backdoor ARM64 scritto in Rust che esegue comandi shell ed esfiltra file attraverso la Bot API di Telegram, con polling e cifratura AES-GCM su TLS con certificate pinning. Il token di autenticazione viene auto-redatto nell'output di runtime per prevenire il recupero da log o crash dump. La persistenza è ottenuta tramite LaunchAgent con label com.apple.system.services.activity. FLATROOF rimuove inoltre l'attributo com.apple.quarantine da ROOFDECK per bypassare Gatekeeper, consentendo l'esecuzione del secondo impianto.

La reazione post-disclosure: anti-forensics in tempo reale

Il 20 aprile 2026, un solo giorno dopo la pubblica disclosure dell'attacco LayerZero da parte della vittima, si è verificata un'azione significativa sul endpoint indiano. ROOFDECK ha scaricato un payload di terzo stadio denominato loginwindow e ha cancellato entrambi gli impianti originali con rm -f. La temporizzazione suggerisce che l'attore monitorasse le comunicazioni pubbliche della vittima precedente e abbia attivato una procedura di ritiro standardizzata.

SentinelOne interpreta questo pattern come indicativo di un'operazione interrotta per "insufficient value". Secondo l'analisi della fonte: "Our investigation revealed insights into what happens when this threat actor compromises a smaller organization that we believe ultimately yielded insufficient value to sustain the intrusion". Si tratta tuttavia di una valutazione degli analisti, non di una conferma esplicita dell'attore.

Il brief non specifica se il payload loginwindow abbia esfiltrato dati prima dell'ultimo beacon osservato il 1 giugno 2026. Rimane inoltre non verificabile come i backdoor siano arrivati inizialmente sulla macchina il 18 marzo: la telemetria registra la presenza su disco, non il vettore di ingresso in quel preciso istante.

"the value of the target is whatever their laptop can reach" — SentinelOne, sulla logica di targeting DevOps

Perché è importante

Il caso documentato da SentinelOne presenta tre limiti significativi per la lettura operativa. Il dossier non specifica la natura esatta dei dati potenzialmente esposti durante la finestra di compromesso. Non documenta misure correttive specifiche adottate dalla vittima. Non fornisce inoltre il numero totale di organizzazioni colpite oltre LayerZero e l'azienda IT indiana.

Ciò che emerge con chiarezza è invece il profilo di rischio: il DevOps engineer è diventato un perimetro di attacco autonomo, indipendentemente dal valore patrimoniale dell'azienda che impiega. Gli strumenti di automazione infrastrutturale — Terraform, i provider registry, i lock file — funzionano da ponte verso ambienti cloud che possono superare di ordini di grandezza la superficie esposta dal singolo endpoint. Il condizionamento del beaconing all'uso di Cursor indica che gli attori stanno mappando le abitudini degli sviluppatori con granularità crescente, rendendo più difficile la separazione tra attività legittima e comunicazione malevola.

L'anti-forensics documentato il 20 aprile 2026 mostra inoltre che TraderTraitor mantiene la capacità di reagire agli eventi pubblici con tempi di risposta misurati in ore, non in giorni. Questa reattività operativa è un dato di contesto rilevante per chi valuta la resilienza dei propri controlli di rilevamento.

Domande frequenti

FLATROOF e ROOFDECK sono backdoor nuovi o già noti?

Sono backdoor già documentati. SentinelOne le aveva osservate nell'attacco a LayerZero; la stessa famiglia, FLATROOF (aka macOS.Gaslight), era stata analizzata in precedenza su campione VirusTotal. Non si tratta di codice inedito, ma di riuso strumentale confermato da hash identici.

Perché il beaconing era legato all'IDE Cursor?

Il dossier documenta che i backdoor si attivavano solo con Cursor in esecuzione. Questo gating comportamentale permette di fondere il traffico malevolo con le connessioni di reto tipiche di un IDE, riducendo la visibilità per i sistemi di monitoraggio. La fonte non specifica se Cursor sia stato scelto per la sua diffusione o per caratteristiche tecniche particolari.

L'azienda indiana è stata scelta per il settore IT?

No. I profili targetizzati erano individui con competenze DevOps o esperienza in progetti crypto/FinTech, non aziende IT nel loro insieme. Il caso appare opportunistico piuttosto che mirato al settore. SentinelOne sottolinea che la vittima era "much smaller" rispetto a LayerZero e che l'intrusione è stata abbandonata.

Fonti

• https://www.sentinelone.com/labs/dont-call-us-well-call-your-apis-tradertraitor-backdoors-resurface-on-victim-with-no-crypto-ties/
• https://www.sentinelone.com/labs/macos-gaslight-rust-backdoor-turns-prompt-injection-on-the-analyst-not-the-sandbox/
• https://www.sentinelone.com/labs/contagious-interview-threat-actors-scout-cyber-intel-platforms-reveal-plans-and-ops/

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti