https://cyberveille.ch/tags/terraform/ Recent content in Terraform on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Wed, 23 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-23-campagne-graphalgo-malware-go-distribue-via-des-providers-terraform-et-des-modules-go/ Wed, 23 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-23-campagne-graphalgo-malware-go-distribue-via-des-providers-terraform-et-des-modules-go/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 22 septembre 2026 par Aikido Security, cet article présente une analyse technique détaillée d&rsquo;une extension de la <strong>campagne Graphalgo</strong>, initialement rapportée par ReversingLabs en février 2026. C&rsquo;est la première fois que des malwares sont distribués via des <strong>providers Terraform</strong>.</p> <h2 id="-vecteurs-de-distribution">📦 Vecteurs de distribution</h2> <p>L&rsquo;acteur malveillant a utilisé quatre packages compromis :</p> <p><strong>Providers Terraform :</strong></p> <ul> <li><code>gocommunity-io/dockerd</code></li> <li><code>kreuzwenker/docker</code> (typosquat de <code>kreuzwerker/docker</code>, 56 millions de téléchargements)</li> </ul> <p><strong>Modules Go :</strong></p> <ul> <li><code>gocommunity.io/orderedbtree</code> (publié le 11 août 2026)</li> <li><code>gogets.dev/btreex</code> (publié le 8 septembre 2026, avec commits backdatés à novembre 2025)</li> </ul> <h2 id="-mécanisme-dactivation">⚙️ Mécanisme d&rsquo;activation</h2> <p>Les providers Terraform contiennent des <strong>points d&rsquo;entrée cachés</strong> dans <code>resource_docker_container_funcs.go</code>, activés uniquement lorsque le hash SHA256 de la concaténation des variables <code>containerName</code> et <code>networkID</code> correspond à une valeur spécifique (<code>b9966e3762e9a0d5d263b8cb3cca07294f81af9714d40ddf4628cb85d74e8ad5</code>). Ce hash sert de <strong>clé AES</strong> pour déchiffrer un chemin de fichier ZIP (<code>import-resource.sqlite3</code>), décompresser et exécuter du code Go via <code>go run .</code>.</p>