Севернокорейският автор на заплахи, известен като Jade Sleet, е свързан с компрометирането на „значително по-малка организация“ в индийската индустрия за информационни технологии (IT), за пореден път подчертавайки как противникът продължава да се насочва към разработчици, за да пробие целеви мрежи.

Компанията за киберсигурност SentinelOne, която разкри подробности за активността, заяви, че тя е включвала използването на задни вратички за Apple macOS, проследявани като FLATROOF (известна още като Gaslight) и ROOFDECK, като и двете бяха наблюдавани по-рано при атаката през март-април 2026 г. срещу моста LayerZero на KelpDAO.

Jade Sleet, проследявана също и под псевдонимите PUKCHONG, Slow Pisces, TraderTraitor и UNC4899, има история в таргетирането на Web3 сектора за кражби на криптовалута. В началото на 2025 г. хакерската група бе свързана с кражбата на около 1.5 милиарда долара от студената портфейлна инфраструктура на Bybit след компрометиране на веригата за доставки в средата за разработчици на Safe{Wallet}.

„Jade Sleet се насочва предимно към потребители, свързани с криптовалути и други организации, базирани на блокчейн, но също така таргетира и доставчици, използвани от тези фирми“, отбеляза притежаваният от Microsoft GitHub през юли 2023 г.

SentinelOne съобщи, че кампанията използва социално инженерство с примамки за интервюта за работа — често срещана тактика, прилагана от множество севернокорейски автори на заплахи — за да таргетира търсещи работа лица от компаниите, компрометирани в хода на атаката. Таргетираните лица са работили в сферата на DevOps, криптовалутите или финансовите технологии.

„Темите на хранилищата в GitHub за примамки с проекти за кодиране са проектирани като инженерни проекти за инфраструктура, свързани с компанията, за която се представят участниците от КНДР“, заявиха изследователите по сигурността Алберт Приего, Алекс Деламот и Матей Хавранек.

Някои от наблюдаваните хранилища са изброени по-долу -

  • gtn-candidate-repo (използвано при инцидента с KelpDAO)
  • Northwind-IAC
  • novacart-interview
  • terraform-candidate-repo

Хранилищата включват модифициран с цел атака заключващ файл за зависимости на Terraform („.terraform.lock.hcl“), сочещ към злонамерени домейни (напр. „registry.hashicorp-aws[.]com“), който кара платформата да изтегля контролирани от атакуващия модули, когато нищо неподозиращият разработчик изпълни командата „terraform init“.

Веригата на атаката завършва с внедряването на две семейства зловреден код, базирани на Rust, насочени към macOS системи с ARM архитектура -

  • FLATROOF, задна вратичка, която използва Telegram за командване и контрол (C2) и е способна да изпълнява команди, да качва и изтегля файлове и да извършва кражба на данни чрез Python модул, който може да събира данни от браузърите Chrome, Brave, Firefox и Safari, история на командната линия в Terminal, списъци с инсталирани приложения, хардуерен и софтуерен профил на системата, моментна снимка на работещите процеси и копие на login.keychain-db
  • ROOFDECK, задна вратичка, която използва протокола Nostr за децентрализиран C2 и е способна на разузнаване на системата, манипулиране на файлове, отдалечен достъп до шел, странично движение и установяване на персистентност чрез Launch Agents

„Командите на ROOFDECK се подписват с частния ключ на оператора и тяхната цялост се потвърждава с помощта на вграден публичен ключ преди изпълнение. Функционалностите на командите са разделени в отделни манипулатори в изходния код“, казаха от SentinelOne.

„Имплантът пренаписва много от обичайните шел команди, свързани с операции по директории и файлове — друга тактика, често използвана в по-сложните инструментариуми, свързани със Северна Корея, включително LightlessCan на Lazarus.“

Компанията за киберсигурност заяви, че нейното търсене на двете задни вратички е разкрило допълнителна несъврзана жертва — IT доставчик, базиран в Индия, който е бил компрометиран чрез MacBook с Apple Silicon, принадлежащ на DevOps инженер. Задните вратички са били открити на машината още на 18 март 2026 г., въпреки че точният механизъм на доставяне е неизвестен на този етап.

„Те са останали неактивни до 29 март, когато е започнала активност по сигнализиране и хост активност“, казаха изследователите. „Имплантите са били стартирани за първи път от Cursor на 29 март, секунди след отварянето на работната среда cloudshield [~/DevOps-Automation/cloudshield].“

Доказателствата показват, че ROOFDECK се внедрява като последващ инструмент върху компрометирани хостове след установяване на първоначален достъп и контрол. Нещо повече, актуализирана версия на ROOFDECK е била внедрена в системата на DevOps инженера на 20 април 2026 г., един ден след като LayerZero публично призна за хака на KelpDAO.

Новият вариант, освен че премахва съществуващите бинарни файлове ROOFDECK и FLATROOF, премахва символите и информацията за отстраняване на грешки в опит да избегне откриването.

„Усилията на тези групи за първоначален достъп включват таргетиране на трети страни и тяхната верига за доставка на софтуер, където се е преместила голяма част от изложението на индустрията, поставяйки крайната точка на разработчика в центъра на защитата“, заявиха от SentinelOne.

„Крайните точки, използвани за разработка, носят достъп до облака, пайплайни и изходен код, което прави мониторинга и защитата висок приоритет за организациите. Тези кампании използват специално създадени среди за разработка, насочени към един инженер наведнъж, съчетани с компрометирани builds на Terraform, които се различават за всяка жертва.“