Bezpečnostní výzkumníci popsali dvě nové škodlivé kampaně, které vykazují shody s dlouhodobě aktivním severokorejským klastrem známým jako Contagious Interview (vystupujícím rovněž pod jmény Famous Chollima, HexagonalRodent nebo Void Dokkaebi).
Kampaň UNK_DeadDrop cílí na vývojáře
Podle zprávy společnosti Proofpoint útočníci organizovali phishingové kampaně využívající témata náborů na vývojářské pozice nebo recenzí kódu a zasáhli téměř sto organizací z oblasti financí, kryptoměn, vzdělávání, technologií a dalších odvětví. Aktivita byla pojmenována UNK_DeadDrop.
Podle výzkumníků Proofpointu Sahera Naumaana a Carlose Rubia útočný řetězec začíná e-maily s odkazy na GitHub repozitáře pod kontrolou útočníka, které hostují škodlivé skripty vedoucí ke spuštění multiplatformního malwaru pro macOS, Linux i Windows, mimo jiné open-source frameworku napsaného v jazyce Go a nazvaného Overlord.
Klíčovým prvkem spojujícím kampaň s Pchjongjangem je využití projektů pro Visual Studio Code, které pomocí techniky zvané runOn: folderOpen spustí škodlivý kód automaticky při každém otevření editoru, aniž by uživatel musel udělat cokoli dalšího. Tento postup skupina Contagious Interview používá od prosince 2025.
Během šestitýdenního období bylo odesláno více než 250 e-mailů téměř stovce organizací, přičemž více než tři čtvrtiny cílů sídlily ve Spojených státech a další ve Velké Británii, Austrálii, Francii, Brazílii, Německu, Indii, Izraeli, Japonsku a Nizozemsku. E-maily odkazovaly na repozitáře GitHubu vydávající se za technické úkoly nebo projekty spojené s kryptoměnami a vyzývaly příjemce, aby si repozitář naklonovali a otevřeli ve VS Code nebo Cursoru, čímž spustili škodlivý kód určený pro konkrétní operační systém. Novější varianty z května 2026 místo toho žádaly cíle o recenzi otevřeného zdrojového projektu.
Škodlivý loader – shellový skript pro macOS a Linux, respektive VBScript pro Windows – instaluje falešné rozšíření do VS Code vydávající se za legitimní službu Google a zároveň komunikuje s externím serverem, čímž umožňuje vzdálené spouštění příkazů, průzkum systému a odcizení dat z prohlížečových rozšíření i desktopových kryptopeněženek. Na Linuxu a macOS útok vede k vlastní upravené verzi open-source frameworku Overlord; oběť je navíc prostřednictvím falešného bezpečnostního vyskakovacího okna vyzvána k zadání systémového hesla. Na Windows naopak VBScript spustí soubor CMD, který následně instaluje rozšíření.
Cíl zůstává stejný: ukrást přihlašovací údaje a data z peněženkových rozšíření a aplikací a odeslat je na vzdálený server. Proofpoint dodává, že na rozdíl od linuxové a macOS varianty windowsová část útoku neudržuje trvalé spojení – pouze nahraje ukradená data ve formě ZIP souborů, provede úklid a ukončí činnost. Podle Proofpointu skupina dříve šířila i windowsovou binární verzi Overlordu, ale od té přešla k popsanému postupu, pravděpodobně ve snaze vyhnout se detekci.
Proofpoint sleduje UNK_DeadDrop jako aktivitu odlišnou od Contagious Interview, a to kvůli jinému způsobu počátečního přístupu (e-mail místo LinkedInu) a použití frameworku Overlord, který se liší od tradičně nasazovaných severokorejských malwarových rodin BeaverTail, InvisibleFerret a OtterCookie. Firma to komentovala slovy: „Operace Severní Koreje zaměřené na vývojáře za účelem zisku dále dospívají a vyvíjejí se.“
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
