【安全圈】朝鮮黑客濫用 VS Code 自動運行任務部署 StoatWaffle 惡意軟件

關鍵詞

惡意軟件

“Contagious Interview”行動背后的朝鮮黑客組織（又稱WaterPlum）被曝利用惡意Visual Studio Code項目傳播新型惡意軟件家族StoatWaffle。

自2025年12月起，該組織開始采用VS Code “tasks.json”配置分發惡意軟件這一新戰術。攻擊利用”runOn: folderOpen”選項，每當項目文件夾在VS Code中打開時即自動觸發執行。

NTT Security在上周發布的報告中指出：”該任務配置會從Vercel上的Web應用下載數據，與操作系統無關。本文雖以Windows環境為例，但核心行為在各系統上基本一致?！?/p>

下載的載荷首先檢查執行環境是否安裝Node.js，若未安裝則從官網下載并安裝。隨后啟動下載器，定期輪詢外部服務器獲取下一階段下載器，該下載器行為相同——訪問同一服務器的另一端點，將接收到的響應作為Node.js代碼執行。

StoatWaffle兩大功能模塊：

• 竊密模塊：竊取Chromium內核瀏覽器和Mozilla Firefox中存儲的憑證及擴展數據，并上傳至C2服務器。若受感染系統為macOS，還會竊取iCloud鑰匙串數據庫。

• 遠控木馬（RAT）：與C2服務器通信，獲取并在受感染主機執行命令。支持切換工作目錄、枚舉文件目錄、執行Node.js代碼、上傳文件、遞歸搜索指定目錄并列出或上傳匹配關鍵詞的文件、運行shell命令及自我終止。

這家日本安全廠商表示：”StoatWaffle是基于Node.js的模塊化惡意軟件，具備竊密和遠控兩大模塊。WaterPlum持續開發新惡意軟件并更新現有工具?！?/p>

與此同時，該組織針對開源生態的多次攻擊活動也被曝光：

• 惡意npm包：分發PylangGhost惡意軟件，系該 malware 首次通過npm包傳播。

• PolinRider行動：在數百個公共GitHub倉庫中植入混淆的惡意JavaScript載荷，最終部署BeaverTail新版本——這是Contagious Interview關聯的知名竊密下載器。其中包括Neutralinojs GitHub組織的四個倉庫。攻擊者疑似通過惡意VS Code擴展或npm包感染受害者后，篡奪了該組織長期貢獻者的GitHub賬戶（擁有組織級寫入權限），強制推送從Tron、Aptos和幣安智能鏈（BSC）交易中獲取加密載荷的JavaScript代碼，以下載運行BeaverTail。

微軟本月對Contagious Interview的分析顯示，攻擊者通過”精心偽裝的招聘流程”實現初始訪問——模擬真實技術面試，最終說服受害者在評估環節運行托管于GitHub、GitLab或Bitbucket的惡意命令或包。

部分情況下，攻擊者通過LinkedIn接觸目標。但被選中的并非初級開發者，而是加密貨幣或Web3領域的創始人、CTO及高級工程師——這些人很可能擁有公司技術基礎設施和加密錢包的高級訪問權限。近期一起事件中，攻擊者試圖通過虛假面試接觸AllSecure.io創始人，但未得逞。

這些攻擊鏈部署的主要惡意軟件家族包括：OtterCookie（具備廣泛數據竊取能力的后門）、InvisibleFerret（Python后門）和FlexibleFerret（Go和Python雙版本模塊化后門）。InvisibleFerret通常通過BeaverTail投遞，但近期入侵中也發現通過OtterCookie獲取初始訪問后直接作為后續載荷分發。

值得注意的是，FlexibleFerret又稱WeaselStore，其Go和Python變體分別被稱為GolangGhost和PylangGhost。

攻擊者正積極改進戰術：新版VS Code項目已棄用Vercel域名，改用GitHub Gist托管腳本下載執行下一階段載荷，最終部署FlexibleFerret。這些項目同樣托管于GitHub。

微軟指出：”通過將惡意軟件投遞嵌入開發者信任的面試工具、編程練習和評估流程，攻擊者利用求職者在高動機和時間壓力期間對招聘流程的信任，降低其警惕性和抵抗力?！?/p>

針對VS Code任務功能的持續濫用，微軟在2026年1月更新（1.109版本）中引入緩解措施：新增”task.allowAutomaticTasks”設置，默認關閉，防止打開工作區時自動執行”tasks.json”中定義的任務。

Abstract Security表示：”該更新還禁止在工作區級定義此設置，因此惡意倉庫自帶的.vscode/settings.json文件無法覆蓋用戶全局設置。1.109版本及2026年2月更新（1.110版本）還引入二次提示，在新打開的工作區檢測到自動運行任務時警告用戶，作為用戶接受工作區信任提示后的額外防護。”

近月來，朝鮮黑客還通過LinkedIn社交工程、虛假風投公司和欺詐視頻會議鏈接，對加密貨幣從業者發起協同惡意軟件攻擊。該活動與GhostCall和UNC1069等集群存在重疊。

MacPaw旗下Moonlock Lab表示：”攻擊鏈最終導向ClickFix式虛假驗證碼頁面，誘騙受害者在終端執行剪貼板注入命令。該行動跨平臺設計，針對macOS和Windows分別投遞定制載荷。”

美國司法部（DoJ）近日宣布對三名男子判刑——25歲的Audricus Phagnasay、30歲的Jason Salazar和35歲的Alexander Paul Travis，三人因協助朝鮮欺詐性IT工作者計劃、違反國際制裁而認罪，此前均于2025年11月認罪。

Phagnasay和Salazar均被判三年緩刑及2000美元罰款，并被沒收參與電信詐騙所得非法收益。Travis被判一年監禁，并沒收19.3265萬美元——這是朝鮮人員冒用其身份所獲金額。

佐治亞州南區聯邦檢察官Margaret Heap在聲明中表示：”這些人實際上把網絡王國的鑰匙交給了疑似朝鮮海外技術工作者——他們試圖為朝鮮政府籌集非法資金，而這些人只是為了看似輕松的金錢回報?！?/p>

上周，Flare和IBM X-Force詳細披露了該IT工作者計劃的內部結構，并指出這些工作者在加入計劃前需就讀朝鮮頂尖大學并通過嚴格面試。

兩家公司指出：”他們被視為朝鮮社會精英成員，已成為朝鮮政府戰略目標不可或缺的部分。這些目標包括但不限于：創收、遠程就業活動、竊取企業和專有信息、勒索，以及為其他朝鮮組織提供支持?！?/p>

安全圈

網羅圈內熱點 專注網絡安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！