Группа киберпреступников Jade Sleet (еще известная под именами TraderTraitor и UNC4899), предположительно связанная с КНДР, осуществила атаку на инфраструктуру индийской компании, предоставляющей ИТ-услуги. Согласно анализу специалистов SentinelOne, целью злоумышленников было воздействие на DevOps-инженера организации для последующего распространения угрозы в цепочки поставок Web3 и финтех-сектора.
Для осуществления проникновения хакеры использовали сложную технику социальной инженерии, маскируясь под рекрутеров и предлагая тестовые задания. Разработчикам предоставлялись репозитории на GitHub, содержащие вредоносный файл зависимости Terraform. При запуске команды terraform init система скачивала сторонние модули с серверов, контролируемых злоумышленниками, что приводило к заражению рабочих станций под управлением macOS.
В процессе анализа устройств пострадавших были выявлены два вредоносных компонента, написанных на языке Rust: FLATROOF, использующий Telegram в качестве канала управления и извлечения паролей и данных браузеров, и ROOFDECK, применяющий децентрализованный протокол Nostr для удаленного администрирования и исполнения команд. Ранее эти инструменты использовались при атаке на мост LayerZero проекта KelpDAO.
Эксперты подчеркивают, что учетные записи и рабочие станции разработчиков остаются приоритетной целью для киберпреступников, поскольку они обеспечивают прямой доступ к исходному коду, системам непрерывной интеграции/непрерывной поставки (CI/CD) и облачной инфраструктуре клиентов.
