Кража 292 млн долларов у криптовалютного протокола KelpDAO через взлом сервиса LayerZero получила продолжение. Следом за апрельским инцидентом 2026 года те же вредоносные программы объявились на ноутбуке инженера из небольшой IT-компании в Индии, которая не имеет отношения к торговле цифровыми активами. Машина на процессоре Apple служила рабочим инструментом: через неё инженер ежедневно управлял облачной инфраструктурой и имел доступ к исходному коду. Такие компьютеры и привлекают группировку TraderTraitor, которую связывают с Северной Кореей.
Описание
Апрельский эпизод выглядел так. Злоумышленники подделали событие выпуска криптовалюты, а серверы проверки отвлекли распределённой атакой на отказ в обслуживании, чтобы те подтвердили незаконную операцию. Индийский случай развивался иначе и начинался задолго до вторжения. Атакующие выходят на разработчиков через фальшивые предложения о работе, ведут переписку от имени службы найма и присылают тестовое задание. Проект лежит на GitHub и выглядит как обычная инженерная задача по настройке инфраструктуры, только внутри репозитория спрятан вредоносный файл. За 2026 год приманок стало больше: помимо проекта, о котором рассказала LayerZero, нашлись репозитории с заданиями от имени компаний Northwind и Novacart. Пока неясно, существовали ли эти фирмы в действительности или злоумышленники выдавали себя за их команды найма.
Проверка телеметрии клиентов выявила ещё одну заражённую организацию. По данным SentinelOne, на её компьютере одновременно работали две программы удалённого доступа. Одна отвечала за первичный сбор сведений и установку дополнительных модулей, вторая - за разведку и удалённое управление. Обе написаны под macOS и маскировались под системные компоненты. Ценность цели определялась не размером компании, а тем, к чему имеет доступ её ноутбук: несколько облачных платформ, системы контроля версий и ключи доступа к программным интерфейсам.
Попадание на компьютер обеспечивал файл блокировки зависимостей в проектах Terraform - инструмента, которым компании описывают облачные ресурсы кодом. Вредоносная версия файла подменяет адрес официального реестра поставщиков на похожий домен, и Terraform послушно скачивает, а затем запускает чужой модуль. Подставных доменов обнаружено три, и все они имитируют адреса официального реестра. Один соискатель всё же распознал подмену и убрал подозрительную запись из проекта, решив, что его проверяют на внимательность. От этого единственного решения зависело, останется ли машина чистой.
Хронология индийского случая показательна. Обе программы лежали на диске как минимум с 18 марта, но до поры молчали. Утром 29 марта инженер открыл в редакторе кода рабочий проект по автоматизации облачных задач. Через несколько секунд среда разработки запустила встроенный терминал, а вслед за ним - оба скрытых модуля. Системная проверка безопасности новых программ не сработала: карантинную метку сняли вручную, права на исполнение выдали тоже, поэтому macOS не спросила у пользователя подтверждения.
Дальше начался сбор информации. Программа читала историю браузеров, список установленных приложений, историю команд терминала, характеристики машины и копию системного хранилища паролей. Часть собранного уходила через Telegram. С 30 марта по 19 апреля связь с серверами управления поддерживалась только во время работы редактора кода: стоило закрыть его, и активность прекращалась. Тринадцатого апреля инженер склонировал ещё один репозиторий-приманку. Двадцатого апреля, через день после публичного заявления LayerZero, на машине появилась новая версия вредоносной программы, уже без отладочных данных. Она удалила прежние образцы и работала до 1 июня, после чего её файл переместили в корзину.
Вторая программа умеет заметно больше. Она ведёт разведку внутри сети, перемещается между узлами, открывает удалённый доступ к командной строке, загружает и выгружает файлы, обновляет себя и по команде полностью стирает следы своего присутствия. Отдельного упоминания заслуживает доступ к буферу обмена: злоумышленник может читать скопированные пароли и кодовые фразы от криптокошельков, а также подменять содержимое - например, подставить свой адрес получателя вместо адреса жертвы. Команды, которые программа получает, подписаны криптографическим ключом, и перед исполнением она проверяет подпись. Такой подход усложняет подмену управляющего сервера и защищает саму атаку.
В расследовании LayerZero злоумышленники после заражения собирали ключи доступа к облачным сервисам и повышали привилегии, чтобы закрепиться в инфраструктуре компании. Индийский случай до такого масштаба не дошёл, и это тоже часть картины: не всякая жертва оправдывает затраченные усилия, поэтому подготовка ведётся под конкретного инженера, а не под отрасль целиком.
Разница между двумя исходами определяется внимательностью одного человека. Компаниям стоит выделить сотрудников с правами на облачную инфраструктуру и доступом к репозиториям в отдельную группу наблюдения. Полезно проверять происхождение файлов блокировок перед запуском чужих проектов, следить за неподписанными программами, стартующими из домашнего каталога, и запретить выполнять тестовые задания на рабочем компьютере. Разработчиков стоит учить распознавать домены, лишь похожие на официальные, и отказываться от запуска кода неизвестного происхождения. Схема атаки опирается на любопытство и рабочую дисциплину инженера, а значит, защита начинается с его привычек.
Индикаторы компрометации
