Группа Lazarus, связанная с КНДР, значительно модернизировала свою кампанию целевых фишинговых атак Contagious Interview, направленную на разработчиков программного обеспечения. Вместо использования устаревшего метода ClickFix злоумышленники теперь применяют новую технику заражения, злоупотребляя функционалом задач в Microsoft Visual Studio Code для внедрения вредоносного кода и обеспечения его устойчивости в системе жертвы. Об этом сообщает команда OpenSourceMalware (OSM), которая детально проанализировала новую волну атак.
Описание
Кампания нацелена на инженеров-программистов, часто связанных с криптоиндустрией. Злоумышленники, притворяясь рекрутерами на LinkedIn или заказчиками на фриланс-платформах, предлагают жертвам высокооплачиваемые проекты. Затем они просят разработчика клонировать репозиторий с Bitbucket, GitLab или GitHub для "ознакомления с кодом". Именно в этом репозитории и скрывается угроза.
Ключевым элементом атаки стал файл "tasks.json", расположенный в директории ".vscode" клонированного проекта. Этот файл задач VSCode, предназначенный для автоматизации рабочих процессов, был сконфигурирован злоумышленниками для выполнения вредоносных команд. В параметре ""runOptions"" установлено значение ""runOn": "folderOpen"". Это означает, что задача выполняется автоматически каждый раз, когда пользователь открывает любую папку или файл в этом проекте в VSCode, что обеспечивает постоянное присутствие вредоносной программы.
При первом открытии репозитория VSCode запрашивает у пользователя доверие к авторам файлов. После подтверждения этого запроса предупреждение больше не появляется, и вредоносная задача выполняется автоматически при каждом последующем открытии проекта. Исследователи отмечают, что это весьма изобретательный способ установки вредоносного загрузчика.
Вредоносная задача, описанная в "tasks.json", в зависимости от операционной системы жертвы (macOS, Linux или Windows) загружает и выполняет скрипт-загрузчик с контролируемого злоумышленниками домена на платформе Vercel. Этот скрипт запускает многоступенчатый процесс загрузки. В конечном итоге на компьютер жертвы устанавливается два основных вредоносных модуля.
Первый модуль, известный как BeaverTail, представляет собой крипто-стилер (cryptostealer). Он нацелен на кражу данных из более чем 43 расширений для браузеров, связанных с криптовалютами, включая MetaMask, Phantom и Coinbase Wallet. Кроме того, он ворует файлы кошельков (например, Exodus), учетные данные, cookies сессий, данные LocalStorage и базы данных ключей macOS. Собранные данные архивируются и отправляются на командный сервер.
Второй модуль, названный исследователями "Invisible Ferret", представляет собой сложный загрузчик на Python. Для затруднения анализа он использует 64 вложенных слоя обфускации, включающих обратное кодирование base64 и сжатие zlib. После распаковки в памяти вредоносная программа определяет операционную систему, создает скрытую директорию и загружает дополнительные компоненты бэкдора и похитителя данных из браузеров.
По данным исследователей, кампания использует как минимум 13 различных вариантов, распределенных по 27 учетным записям GitHub. Все они используют один и тот же метод с файлом задач VSCode, но загружают различные полезные нагрузки (payload) с уникальных URL на платформе Vercel. Анализ показывает, что хакеры начали экспериментировать с этой техникой еще в апреле 2025 года, но активно использовать ее стали примерно две недели назад, модифицируя старые репозитории. Команда OSM связалась с Vercel, GitHub и Atlassian с просьбой удалить вредоносные ресурсы. Все образцы вредоносного ПО и индикаторы компрометации были добавлены в открытую базу данных OpenSourceMalware и доступны общественности бесплатно. Эксперты предупреждают, что новая техника, вероятно, быстро вытеснит старый метод ClickFix и станет основным вектором начального заражения для Lazarus Group. Разработчикам рекомендуется проявлять особую осторожность при работе с репозиториями от незнакомых источников и внимательно проверять файлы в директории ".vscode".
Индикаторы компрометации
