Северокорейские хакеры атакуют разработчиков через фальшивые вакансии и вредоносные репозитории GitHub: новая кампания UNK

Весной 2026 года специалисты компании Proofpoint зафиксировали масштабную фишинговую кампанию, направленную против разработчиков по всему миру. Злоумышленники, предположительно связанные с Северной Кореей, использовали поддельные предложения о работе и просьбы провести ревью кода, чтобы заставить жертв запустить вредоносное программное обеспечение. Атаки затронули почти сто организаций из сфер финансов, криптовалют, образования и технологий. Исследователи присвоили этой активности кодовое имя UNK_DeadDrop.

Описание

Схема заражения начинается с электронного письма, содержащего ссылку на репозиторий GitHub. Письмо выглядит как приглашение на техническое собеседование или просьба проверить код открытого проекта. Жертву просят клонировать репозиторий и открыть его в редакторе кода Visual Studio Code или Cursor. Внутри репозитория спрятан файл tasks.json, который при открытии папки автоматически запускает вредоносные скрипты. Особенность в том, что Cursor выполняет задачу без какого-либо запроса подтверждения - молча и мгновенно.

После запуска скрипты устанавливают в редактор вредоносное расширение VSIX (тип пакета для расширений Visual Studio), замаскированное под легитимный сервис Google. Это расширение обеспечивает закрепление в системе на macOS и Linux, а на Windows выполняет разовую кражу данных. Затем запускается кроссплатформенный вредонос, способный работать на операционных системах macOS, Linux и Windows.

Для Linux и macOS злоумышленники применяют фреймворк Overlord, написанный на Go. Это полноценный инструмент удалённого управления (RAT), который устанавливает постоянное соединение с сервером управления и команд (C&C - сервер для приёма команд от атакующего и кражи данных) через WebSocket. Overlord собирает криптовалютные кошельки, пароли из браузеров и ключи из системной связки Keychain на macOS или GNOME Keyring на Linux. Чтобы получить пароль от системы, вредонос показывает поддельное диалоговое окно, якобы для подтверждения прав доступа.

На Windows атака устроена иначе. Вместо отдельного бинарного файла вредонос выполняется целиком внутри процесса редактора кода, используя функцию ELECTRON_RUN_AS_NODE. Это значит, что не требуется запись файла на диск - код живёт в памяти. Сценарий Node.js расшифровывает зашифрованные полезные нагрузки, собирает данные из 35 расширений криптокошельков (MetaMask, Phantom, Rabby, Keplr и других), 18 отдельных приложений-кошельков (Exodus, Electrum, Ledger Live и т. д.) и кражу паролей из браузеров. Для обхода защиты App-Bound Encryption в Chrome и Edge злоумышленники загружают Python в каталог браузера и используют уязвимость COM Elevation Service. После сбора данных архив отправляется на сервер C&C, а следы на диске удаляются.

За два месяца кампании было отправлено более 250 писем. Поддельные компании выглядели убедительно: Ondo Finance (децентрализованные финансы), Empower Pharmacy (фармацевтика), NXLog (сбор логов), OnePlan (управление проектами), Hypen Connect (Web3 и AI-рекрутинг), Valon (ипотечный сервис) и Nourish (телемедицина). Позднее появились темы с ревью кода для платформ Pulsynk и Trixauvex (якобы криптотрейдинговые компании), а также тестирование инструмента Foundry для смарт-контрактов и проект AI-агентов с оплатой.

Всего было создано не менее десяти репозиториев, причём шесть из них содержали итеративные обновления - это говорит о том, что операторы активно дорабатывают свои инструменты. Репозитории имеют профессиональную структуру, рабочие скрипты и ссылки на реальные стандарты, что делает их похожими на настоящие проекты с открытым исходным кодом.

Аналитики Proofpoint в своём отчёте отмечают, что UNK_DeadDrop имеет много общего с ранее известной северокорейской группировкой Contagious Interview. Обе группы нацелены на разработчиков, используют GitHub для доставки вредоноса и злоупотребляют возможностями Visual Studio Code. Однако есть и важные отличия. UNK_DeadDrop перешла от социальных сетей к электронной почте, что позволяет охватить гораздо больше целей за короткое время. Кроме того, новая кампания использует самодостаточные полезные нагрузки, встроенные прямо в репозиторий, а не загружаемые из внешних источников. Это делает атаку более устойчивой к блокировке инфраструктуры. Вредоносный код также лучше заметает следы: удаляет папки vendor и .vscode после выполнения.

Последствия такой атаки могут быть крайне серьёзными. Разработчики, особенно в криптовалютной сфере, хранят в браузерах ключи от кошельков, токены API и пароли. Захват одной учётной записи может привести к краже миллионов долларов в цифровых активах. Кроме того, через скомпрометированную среду разработки злоумышленники могут получить доступ к внутренним репозиториям компании, исходному коду и коммерческой тайне.

Хотя точная атрибуция остаётся неясной, все признаки указывают на то, что в кампании участвуют опытные операторы, вложившие значительные ресурсы в разработку инструментов и автоматизацию рассылки. Учитывая, что атаки продолжаются, специалистам по информационной безопасности стоит обратить особое внимание на использование незнакомых репозиториев, особенно если они приходят по электронной почте с предложением о работе. Открытие репозитория в Cursor несёт наибольший риск, поскольку редактор не запрашивает подтверждение для автоматических задач. Для защиты рекомендуется отключить автоматическое выполнение задач в настройках редактора и проверять любые ссылки на GitHub перед клонированием.

Кампания UNK_DeadDrop демонстрирует, что северокорейские хакеры продолжают совершенствовать методы социальной инженерии и технического обхода защит. Переход от индивидуальных атак через LinkedIn к массовым фишинговым рассылкам указывает на индустриализацию процесса. Если раньше такие группировки полагались на ручное общение с жертвой, то теперь они способны генерировать десятки репозиториев и тысяч писем за считанные недели. Это существенно повышает угрозу для разработчиков по всему миру.