StoatWaffle 恶意软件
一个名为“传染性访谈”（Contagious Interview，又名WaterPlum）的朝鲜威胁集群与名为“StoatWaffle”的复杂恶意软件家族有关联。该攻击活动专门针对开发者，通过恶意利用微软Visual Studio Code（VS Code）项目进行攻击，这标志着软件开发生态系统内供应链攻击正在发生危险的演变。
目录
将 VS Code 武器化：滥用 tasks.json
此次攻击活动的一项显著创新是利用了 VS Code 的 tasks.json 配置文件。自 2025 年 12 月以来，攻击者利用“runOn: folderOpen”设置，在项目文件夹打开时自动执行恶意任务。
这种技术确保攻击能够持续执行，无需用户显式交互。恶意任务从托管在 Vercel 上的远程 Web 应用程序获取有效载荷，该应用程序独立于底层操作系统运行。尽管分析环境通常侧重于 Windows 系统，但攻击逻辑在不同平台上保持一致。
通过 Node.js 实现多阶段有效载荷交付
一旦执行，该恶意软件将启动一个结构化的多阶段感染过程：
- 该有效载荷会验证主机系统上是否安装了 Node.js。
- 如果未安装，Node.js 将从其官方来源下载并静默安装。
- 下载器组件启动，定期与远程服务器联系。
- 该下载器会检索额外的有效载荷，这些有效载荷会作为 Node.js 代码执行，并通过后续阶段继续感染链。
这种分层方法增强了持久性，并使安全工具难以检测。
StoatWaffle 内部结构：模块化恶意软件功能
StoatWaffle 是一个基于 Node.js 构建的模块化框架，可灵活部署多个恶意组件。其主要模块包括：
凭证窃取程序：从基于 Chromium 内核的浏览器和 Mozilla Firefox 中提取敏感数据，包括已保存的凭证和扩展程序数据。在 macOS 系统上，它还会攻击 iCloud 钥匙串数据库。所有收集到的数据都会被泄露到命令与控制 (C2) 服务器。
远程访问木马（RAT） ：与C2服务器建立持久通信，允许攻击者远程执行命令。其功能包括文件系统导航、命令执行、文件上传、基于关键字的文件搜索以及自我终止。
扩大攻击面：开源生态系统利用
此次攻击活动与针对开源平台和开发者工作流程的更广泛攻击模式相符。值得注意的攻击行动包括：
- 通过恶意 npm 包分发基于 Python 的后门程序 PylangGhost，这是首次观察到该程序通过此渠道传播。
- PolinRider 攻击活动将混淆的 JavaScript 注入到数百个 GitHub 存储库中，导致更新的 BeaverTail 恶意软件变种的部署。
- 通过劫持具有高级权限的贡献者帐户，入侵了 Neutralinojs GitHub 组织内的代码库。恶意代码被强制推送，以检索嵌入在 Tron、Aptos 和 Binance Smart Chain 区块链交易中的加密有效载荷。
在这些情况下，受害者通常是通过被入侵的 VS Code 扩展程序或恶意 npm 包感染的。
社会工程策略：虚假面试和针对开发者的攻击
攻击者通常通过极具迷惑性的招聘骗局获得初始访问权限。他们模拟合法的技术面试流程，诱骗目标执行托管在 GitHub、GitLab 或 Bitbucket 等平台上的恶意代码。
该攻击策略主要针对高价值个人，包括加密货币和Web3领域的创始人、首席技术官和高级工程师。这些职位通常掌握着关键基础设施和数字资产的访问权限。在一个有记录的案例中，攻击者利用捏造的面试场景，试图攻击AllSecure.io的创始人。
为了增强可信度，攻击者会在LinkedIn上创建虚假公司简介，并维护看似合法的GitHub账户。其他攻击手段还包括使用ClickFix，这是一种社会工程学方法，可以将恶意软件伪装成技能评估任务。
战略目标：超越加密货币盗窃
虽然加密货币盗窃似乎是主要动机，但其更广泛的意图还包括破坏供应链和商业间谍活动。通过渗透开发者环境，攻击者有机会将恶意代码传播到下游软件项目中，或访问敏感的组织数据。
加强 VS Code 安全性
为了应对滥用 VS Code 任务的情况，微软推出了关键的安全增强功能：
- 2026 年 1 月的更新（版本 1.109）引入了 task.allowAutomaticTasks 设置，默认情况下该设置处于禁用状态，以防止自动执行 tasks.json 中定义的任务。
- 此设置无法在工作区级别被覆盖，从而防止恶意存储库绕过用户定义的安全首选项。
- 后续更新，包括 2026 年 2 月发布的 1.110 版本，在检测到新打开的工作区中的自动运行任务时，增加了一个辅助警告提示，即使在授予工作区信任后，也能增强用户的意识。
结论：对开发者安全的威胁日益加剧
StoatWaffle攻击活动凸显了攻击者策略的重大转变，其重点转向开发环境和可信工作流程。通过将技术漏洞利用与高级社会工程学相结合，威胁行为者不断模糊合法活动和恶意活动之间的界限，这凸显了在整个软件开发生命周期中保持高度警惕的必要性。
