StoatWaffle-haittaohjelma

Pohjoiskorealainen uhkarypäs, jota seurataan nimellä Contagious Interview ja joka tunnetaan myös nimellä WaterPlum, on yhdistetty hienostuneeseen StoatWaffle-nimiseen haittaohjelmaperheeseen. Tämä kampanja kohdistuu erityisesti kehittäjiin aseistamalla haitallisia Microsoft Visual Studio Code (VS Code) -projekteja, mikä viestii vaarallisesta kehityksestä toimitusketjuhyökkäyksissä ohjelmistokehityksen ekosysteemissä.

VS-koodin aseistaminen: tasks.json-tiedoston väärinkäyttö

Merkittävä innovaatio tässä kampanjassa on VS Coden tasks.json-määritystiedoston hyödyntäminen. Joulukuusta 2025 lähtien hyökkääjät ovat hyödyntäneet 'runOn: folderOpen' -asetusta suorittaakseen haitallisia tehtäviä automaattisesti aina, kun projektikansio avataan.

Tämä tekniikka varmistaa yhdenmukaisen suorituksen ilman käyttäjän toimia. Haitallinen tehtävä hakee hyötykuormia Vercelissä isännöidystä etäsovelluksesta, joka toimii riippumatta taustalla olevasta käyttöjärjestelmästä. Vaikka analyysiympäristöt keskittyvät usein Windowsiin, hyökkäyslogiikka pysyy yhdenmukaisena eri alustoilla.

Monivaiheinen hyötykuorman toimitus Node.js:n kautta

Suoritettuaan haittaohjelma käynnistää strukturoidun, monivaiheisen tartuntaprosessin:

• Hyötykuorma tarkistaa, onko Node.js asennettu isäntäjärjestelmään.
• Jos Node.js puuttuu, se ladataan virallisesta lähteestään ja asennetaan hiljaisesti.
• Latauskomponentti käynnistetään ja se ottaa säännöllisesti yhteyttä etäpalvelimeen.
• Tämä latausohjelma hakee lisää hyötykuormia, jotka suoritetaan Node.js-koodina ja jatkavat tartuntaketjua peräkkäisten vaiheiden läpi.

Tämä kerrostettu lähestymistapa parantaa pysyvyyttä ja vaikeuttaa havaitsemista tietoturvatyökaluilla.

StoatWafflen sisällä: Modulaariset haittaohjelmaominaisuudet

StoatWaffle on suunniteltu modulaariseksi Node.js:n päälle rakennetuksi kehykseksi, joka mahdollistaa useiden haitallisten komponenttien joustavan käyttöönoton. Sen päämoduuleihin kuuluvat:

Tunnistetietojen varastaja : Poimii arkaluonteisia tietoja Chromium-pohjaisista selaimista ja Mozilla Firefoxista, mukaan lukien tallennetut tunnistetiedot ja laajennustiedot. macOS-järjestelmissä se kohdistaa iskunsa myös iCloud Keychain -tietokantaan. Kaikki kerätyt tiedot suodatetaan Command-and-Control (C2) -palvelimelle.
Etäkäyttötroijalainen (RAT) : Muodostaa pysyvän yhteyden C2-palvelimeen, jolloin hyökkääjät voivat suorittaa komentoja etänä. Ominaisuuksiin kuuluvat tiedostojärjestelmän navigointi, komentojen suorittaminen, tiedostojen lataaminen palvelimelle, avainsanapohjaiset tiedostohaut ja itsepysäytys.
Hyökkäyspinnan laajentaminen : Avoimen lähdekoodin ekosysteemin hyödyntäminen

Kampanja on linjassa laajemman hyökkäyskuvion kanssa, joka kohdistuu avoimen lähdekoodin alustoihin ja kehittäjien työnkulkuihin. Merkittäviä operaatioita ovat:

• Python-pohjaisen takaportin, PylangGhostin, leviäminen haitallisten npm-pakettien kautta, mikä on sen ensimmäinen havaittu leviäminen tämän kanavan kautta.
• PolinRider-kampanja, jossa ruiskutettiin hämärrettyä JavaScriptiä satoihin GitHub-arkistoon, mikä johti päivitetyn BeaverTail-haittaohjelmavariantin käyttöönottoon.
• Neutralinojs GitHub -organisaation sisäisten tietovarastojen vaarantuminen kaappaamalla avustajan tili, jolla on laajennetut käyttöoikeudet. Haittaohjelmakoodia pakotettiin hakemaan lohkoketjutapahtumiin upotettuja salattuja hyötykuormia Tron-, Aptos- ja Binance Smart Chain -verkoissa.

Näissä tilanteissa uhrit saivat usein tartunnan vaarantuneiden VS Code -laajennusten tai haitallisten npm-pakettien kautta.

Sosiaalisen manipuloinnin taktiikat: väärennetyt haastattelut ja kehittäjien kohdistaminen

Alkuperäinen pääsy järjestelmään saadaan usein erittäin vakuuttavien rekrytointihuijausten avulla. Hyökkääjät simuloivat laillisia teknisiä haastatteluprosesseja ja suostuttelevat kohteet suorittamaan haitallista koodia, jota isännöidään alustoilla, kuten GitHub, GitLab tai Bitbucket.

Kohdistusstrategia keskittyy arvokkaisiin henkilöihin, kuten kryptovaluutta- ja Web3-alojen perustajiin, teknologiajohtajiin ja kokeneisiin insinööreihin. Nämä roolit tarjoavat usein pääsyn kriittiseen infrastruktuuriin ja digitaalisiin omaisuuksiin. Yhdessä dokumentoidussa tapauksessa hyökkäysyritys kohdistui AllSecure.io:n perustajaan tekaistun työhaastatteluskenaarion avulla.

Parantaakseen uskottavuuttaan hyökkääjät luovat väärennettyjä yritysprofiileja LinkedIniin ja ylläpitävät näennäisesti laillisia GitHub-tilejä. Muita tekniikoita ovat ClickFixin käyttö, sosiaalisen manipuloinnin menetelmä, joka naamioi haittaohjelmien toimituksen taitoarviointitehtäviksi.

Strategiset tavoitteet: kryptovaluuttavarkauksien tuolla puolen

Vaikka kryptovaluutan varastaminen näyttää olevan ensisijainen motiivi, laajempi tarkoitus ulottuu toimitusketjun vaarantamiseen ja yritysvakoiluun. Kehittäjäympäristöihin tunkeutumalla hyökkääjät saavat mahdollisuuksia levittää haitallista koodia jatkokehityshankkeisiin tai käyttää arkaluonteisia organisaatiotietoja.

VS-koodin tietoturvan vahvistaminen

Vastauksena VS Code -tehtävien väärinkäyttöön Microsoft esitteli kriittisiä tietoturvaparannuksia:

• Tammikuun 2026 päivityksessä (versio 1.109) esiteltiin task.allowAutomaticTasks-asetus, joka on oletusarvoisesti poistettu käytöstä, jotta estetään tasks.json-tiedostossa määriteltyjen tehtävien automaattinen suorittaminen.
• Tätä asetusta ei voi ohittaa työtilatasolla, mikä estää haitallisia tietovarastoja ohittamasta käyttäjän määrittämiä suojausasetuksia.
• Myöhemmät päivitykset, mukaan lukien helmikuussa 2026 julkaistu versio 1.110, lisäsivät toissijaisen varoituskehotteen, kun äskettäin avatuissa työtiloissa havaitaan automaattisesti suoritettavia tehtäviä, mikä vahvistaa käyttäjien tietoisuutta myös työtilan luottavuuden myöntämisen jälkeen.

Johtopäätös: Kasvava uhka kehittäjien turvallisuudelle

StoatWaffle-kampanja korostaa merkittävää muutosta hyökkääjien strategiassa, jossa keskitytään kehitysympäristöihin ja luotettaviin työnkulkuihin. Yhdistämällä teknistä hyökkäysten hyödyntämistä edistyneeseen sosiaaliseen manipulointiin uhkatoimijat jatkavat laillisen ja haitallisen toiminnan välisen rajan hämärtymistä, mikä korostaa lisääntyneen valppauden tarvetta koko ohjelmistokehityksen elinkaaren ajan.