Северокорейская Jade Sleet взломала индийского ИТ-провайдера бэкдорами FLATROOF и ROOFDECK

Компания SentinelOne приписала северокорейской группировке Jade Sleet компрометацию небольшой индийской организации из сферы ИТ-услуг. Случай в очередной раз подтверждает: чтобы проникнуть в сети жертв, злоумышленники охотятся именно на разработчиков.

В атаке использовались бэкдоры для macOS под названием FLATROOF (он же Gaslight) и ROOFDECK — те же инструменты, что фигурировали в мартовско-апрельской атаке 2026 года на мост LayerZero проекта KelpDAO. Jade Sleet, известная также под именами PUKCHONG, Slow Pisces, TraderTraitor и UNC4899, специализируется на криптовалютных хищениях в секторе Web3. В начале 2025 года группу связали с кражей около 1,5 млрд долларов из холодных кошельков биржи Bybit после компрометации среды разработки Safe{Wallet}.

Приманка через собеседование

Основной приём — социальная инженерия под видом технического собеседования. Соискателям из областей DevOps, криптовалют и финтеха предлагают тестовое задание в виде GitHub-репозитория, оформленного как инфраструктурный проект компании, за которую выдают себя злоумышленники. Среди обнаруженных репозиториев — gtn-candidate-repo (использованный в инциденте с KelpDAO), Northwind-IAC, novacart-interview и terraform-candidate-repo.

В репозиториях находится подменённый файл блокировки зависимостей Terraform (.terraform.lock.hcl), указывающий на вредоносные домены вроде registry.hashicorp-aws[.]com. Когда доверчивый разработчик запускает команду terraform init, платформа скачивает подконтрольные атакующим модули.

Два бэкдора на Rust

Финал цепочки — развёртывание двух семейств вредоносного ПО на Rust, нацеленных на macOS с процессорами ARM. FLATROOF использует Telegram в качестве канала управления, умеет исполнять команды, загружать и выгружать файлы, а через Python-модуль похищает данные браузеров Chrome, Brave, Firefox и Safari, историю команд терминала, список приложений, профиль системы, снимок процессов и копию login.keychain-db.

ROOFDECK строит децентрализованный канал управления на протоколе Nostr и обеспечивает разведку, манипуляции с файлами, удалённую оболочку, перемещение по сети и закрепление через Launch Agents. Его команды подписываются приватным ключом оператора и проверяются встроенным публичным ключом. Как отмечает SentinelOne, ROOFDECK переизобретает многие стандартные команды оболочки — приём, характерный для более изощрённых инструментов КНДР, включая LightlessCan группы Lazarus.

Индийская жертва

Поиск этих бэкдоров вывел исследователей на дополнительную жертву — индийского ИТ-провайдера, скомпрометированного через MacBook на Apple Silicon, принадлежавший инженеру DevOps. Следы присутствия обнаружены уже 18 марта 2026 года, хотя способ первичной доставки пока неизвестен. Импланты оставались в спячке до 29 марта, когда запустился редактор Cursor — через секунды после открытия рабочего пространства cloudshield.

Обновлённая версия ROOFDECK появилась на машине инженера 20 апреля 2026 года, на следующий день после того, как LayerZero публично признала взлом KelpDAO. Новый вариант удалял прежние бинарники и лишался символов и отладочной информации ради уклонения от обнаружения.

Вывод SentinelOne прост: атаки всё чаще идут через сторонние компании и их цепочки поставок, а рабочая станция разработчика оказывается в центре обороны — ведь именно она даёт доступ к облаку, конвейерам и исходному коду.

Источник: The Hacker News