Un'intrusione nella piattaforma Coder ha permesso a cybercriminali di inserire server malevoli nella rete Cloudflare, distribuendo moduli Terraform infetti capaci di sottrarre segreti e credenziali a sviluppatori di aziende e enti pubblici di primo piano.
Un attacco mirato ha colpito il cuore della supply chain software: la piattaforma Coder, utilizzata da giganti come Dropbox, Palantir, Square, Mercedes-Benz, KKR, EnBW e persino enti governativi statunitensi, è stata sfruttata per distribuire moduli Terraform infetti in grado di rubare credenziali e segreti sensibili.
Il punto di svolta? Gli aggressori sono riusciti a violare l'infrastruttura Cloudflare di Coder, aggiungendo server non autorizzati al pool del registry. Questo ha permesso di dirottare parte del traffico degli sviluppatori verso server controllati dagli attaccanti, che hanno così potuto consegnare file malevoli a ignari utenti.
Come è avvenuta la compromissione
Secondo l'avviso ufficiale di Coder, l'attacco ha preso di mira registry.coder.com, il repository centrale da cui gli sviluppatori scaricano componenti per i propri ambienti di lavoro. Nonostante la protezione Cloudflare, l'intrusione ha consentito di inserire IP non autorizzati nella configurazione del registry, facendo sì che alcune richieste venissero instradate verso server ostili.
Il periodo critico si è concentrato tra le 07:35 e le 21:45 UTC di lunedì 31 agosto: in questa finestra temporale, i server malevoli hanno distribuito versioni modificate dei moduli Terraform, strumenti fondamentali per la creazione e configurazione di infrastrutture cloud e AI.
Obiettivi e tecniche degli aggressori
I moduli infetti agivano come veri e propri infostealer: una volta eseguiti, scandagliavano i sistemi alla ricerca di vari tipi di segreti, tra cui variabili d'ambiente, chiavi API di infrastrutture cloud e strumenti AI, credenziali CI/CD, token OIDC, chiavi SSH, password di database e token di autenticazione temporanei. Tutte queste informazioni venivano poi esfiltrate verso il dominio "coder-infra[.]com", appositamente creato per l'operazione.
Coder raccomanda agli utenti potenzialmente coinvolti di ruotare immediatamente tutte le credenziali e i segreti elencati, oltre a controllare i log di firewall, proxy, DNS e VPC per eventuali connessioni sospette verso il dominio malevolo. È inoltre fondamentale analizzare i log dei provisioner per tracce di "data.external.telemetry", identificare i moduli scaricati durante la finestra di rischio e cancellare eventuali pacchetti in cache compromessi.
Impatto e limiti delle indagini
La società ha pubblicato una query SQL per aiutare gli utenti a individuare moduli e template potenzialmente contaminati. Coder afferma che i refresh token non sono stati esposti e che non risultano compromissioni dirette dei dati dei clienti gestiti dalla piattaforma. Tuttavia, la mancanza di accesso ai log dei server degli attaccanti impedisce di ricostruire con certezza l'elenco completo delle installazioni colpite.
Il caso Coder si inserisce in una scia di attacchi sempre più sofisticati alla supply chain software, dove la fiducia negli strumenti di sviluppo viene sfruttata come vettore primario. Un esempio recente di questa tendenza è stato l'attacco a NetScaler, che ha spinto Citrix a rilasciare patch d'emergenza per vulnerabilità critiche.
Analisi: la fiducia cieca nella supply chain è un rischio sistemico
Quando piattaforme come Coder, considerate pilastri della sicurezza per lo sviluppo cloud e AI, vengono compromesse a questo livello, il danno potenziale si estende ben oltre il singolo progetto. La rapidità con cui gli aggressori hanno sfruttato la configurazione di Cloudflare per inserire server malevoli dimostra che la sicurezza perimetrale non basta: ogni anello della catena, dal registry ai moduli, può diventare un punto di ingresso. L'assenza di log completi e la difficoltà di tracciare ogni installazione colpita sono la prova che la trasparenza e la verifica continua sono ormai imprescindibili. Chi si affida a strumenti open source o cloud-hosted non può più permettersi una fiducia cieca: la sicurezza della supply chain non è un optional, ma una responsabilità condivisa che va affrontata con strumenti, processi e cultura all'altezza delle minacce attuali.
