Атакующие скомпрометировали инфраструктуру Cloudflare, которую использует платформа Coder, и добавили в пул реестра собственные серверы. В результате некоторые разработчики получили вредоносные модули Terraform, зараженные стилером, который воровал из их систем ключи, токены и другие секреты.
Coder позволяет компаниям разворачивать защищенные self-hosted среды разработки, в том числе для создания ИИ-приложений. Платформой пользуются такие крупные компании, как Dropbox, Palantir, Square, Mercedes-Benz, KKR, EnBW, а также правительственные структуры США и оборонные компании.
По информации разработчиков, целью атаки стал registry.coder.com — реестр, откуда разработчики загружают компоненты для шаблонов рабочих окружений. Злоумышленники получили доступ к инфраструктуре Cloudflare с помощью скомпрометированного API-ключа и добавили в пул реестра несанкционированные IP-адреса, где были развернуты поддельные серверы. В результате инфраструктура Cloudflare направляла часть запросов пользователей на эти адреса.
Сообщается, что атакующие модифицировали Terraform-модули — готовые наборы инструкций для создания и настройки инфраструктуры, и вредоносные файлы распространялись 31 августа 2026 года в период с 07:35 до 21:45 UTC.
Внедренный в модули вредоносный код работал как инфостилер: искал переменные окружения и секреты provisioner, API-ключи облачных платформ и ИИ-инструментов, учетные данные CI/CD, секреты из конфигурационных файлов и историю терминала. Кроме того, на зараженных машинах малварь собирала OIDC-токены пользователей, SSH-ключи, временные токены доступа к внешним сервисам, пароли БД Coder и другие секреты, если provisioner работал внутри coderd. Все собранные стилером данные в итоге отправлялись на домен coder-infra[.]com.
Теперь всем потенциальным пострадавшим рекомендуют как можно скорее сменить все секреты, которые мог похитить вредонос. Также перед обновлением до исправленных версий 2.37.0, 2.36.4, 2.35.7 или 2.34.9 рекомендуется проверить логи файрвола, прокси, DNS и VPC Flow Logs на соединения с coder-infra[.]com.
Кроме того, разработчикам советуют поискать в логах provisioner упоминания data.external.telemetry, определить, какие модули скачивались в период атаки, и удалить потенциально вредоносные пакеты из кеша. Для поиска затронутых кешированных модулей и версий шаблонов разработчики Coder подготовили специальный SQL-запрос.
В Coder подчеркивают, что refresh-токены не передавались provisioner, и расследование не выявило признаков компрометации клиентских данных, которые хранит сама платформа.
