LONDON (IT BOLTWISE) – Nordkoreanische Akteure nutzen mit UNK_DeadDrop gezielt Entwickler-Workflows: Phishing führt zu GitHub-Repositories, die beim Öffnen in VS Code automatisch schädlichen Code starten. Die Kampagne zielt auf macOS, Linux und Windows und installiert dabei im Kern bösartige VSIX-Erweiterungen, die Anmeldedaten und Wallet-Informationen aus Browser-Extensions exfiltrieren. Experten ordnen das Vorgehen als weiteres Anzeichen für eine zunehmende „Industrialisierung“ der Angriffe entlang des Software-Lieferpfads ein.
Die Warnsignale für Unternehmen mit Entwicklerbezug verdichten sich: Forschende haben zwei neue Kampagnen beschrieben, die sich in Methodik und Zielrichtung an einen länger bekannten nordkoreanisch ausgerichteten Threat-Cluster anlehnen. Im Zentrum steht UNK_DeadDrop, das Entwicklerkontext als Eintrittspunkt missbraucht. Der Kernmechanismus wirkt dabei besonders gefährlich, weil er nicht auf „aktive“ Nutzeraktionen im Sinne typischer Social-Engineering-Interaktionen setzt, sondern auf häufige Handgriffe im Alltag von Softwareteams: Repository-Clone, Projekt öffnen und dann weiterarbeiten. Für Security-Verantwortliche verschiebt sich damit der Fokus weiter von Endpoint-Härtung hin zu Build-, IDE- und Supply-Chain-Kontrollen.
Technisch beginnt die Infektionskette meist mit E-Mails, die auf GitHub kontrollierte Repositories verweisen. Diese werden als technische Aufgaben oder kryptobezogene Projekte getarnt, sodass Zielpersonen den Inhalt „prüfen“ und in ihren Werkzeugen öffnen. Entscheidend ist die Verwendung von VS Code-Projekten mit der Technik „runOn: folderOpen“, wodurch bösartiger Code beim Öffnen des Ordners im Editor wiederholt getriggert wird – ohne dass die Person zusätzlich aktiv werden muss. Die Kampagne umfasst Loader-Skripte, die je nach Betriebssystem unterschiedlich ausgerollt werden: auf macOS und Linux als Shell Script, auf Windows als VBScript. Diese Architektur erlaubt es den Angreifern, plattformübergreifend zu bleiben, ohne für jede Plattform völlig neue Logik zu erfinden.
Ein zentraler Bestandteil der UNK_DeadDrop-Strategie ist die Installation einer schädlichen VS Code-Erweiterung (VSIX). Sie tarnt sich als legitimer Service, bleibt aber funktional auf Fernsteuerung und Datendiebstahl ausgerichtet. Für die Steuerung nutzen die Akteure externe Infrastruktur, um Remote-Kommandos auszuführen, Systeme zu rekonnoitieren und Daten abzuziehen – insbesondere aus Browser-Wallet-Extensions sowie aus Desktop-Wallet-Anwendungen. Auf macOS und Linux führt die Kette zu einer angepassten Variante eines Open-Source-Frameworks namens „Overlord“, die laut Analysefähigkeiten zum Datendiebstahl mitbringt und zugleich eine gefälschte Sicherheits-Pop-up-Eingabe verwendet, um Passwörter abzufragen. Für Windows wird dagegen ein VBScript-zu-CMD-Workflow beschrieben, der die Erweiterung nachlädt und anschließend Bereinigungsroutinen ausführt, um Spuren zu minimieren und die Erkennungswahrscheinlichkeit zu senken.
Im Markt lässt sich das Muster in eine größere Entwicklung einordnen: Bereits existierende nordkoreanische Cluster wie Contagious Interview wurden mit Themen rund um Job- und Interview-Lures, Git-Hooks und kompromittierte Paket-Ökosysteme bekannt. UNK_DeadDrop unterscheidet sich zwar in Details der ersten Kontaktaufnahme – hier eher E-Mail statt Social-Media-Interviewinszenierung – nutzt aber in der Tiefe bekannte Prinzipien. Dazu gehört auch die Wahl eines Frameworks (Overlord), das die Angreifer schneller „anpassbar“ machen kann, statt vollständig von Grund auf neu zu entwickeln. Gleichzeitig berichten Analysten, dass Parallelen zu anderen Kampagnen existieren, etwa zu Lazarus-Mechanismen rund um Dream-Job-Angriffe, die im Oktober 2025 dokumentiert wurden. Das signalisiert weniger „Einzelvorfall“, sondern eine Spezialisierung auf wiederverwendbare Bausteine über Teams und Zeiträume hinweg.
Weitere Indizien für die operative Reife kommen aus anderen Entdeckungen der letzten Monate. So wurden im JavaScript-Ökosystem wiederholt Supply-Chain-Manipulationen beobachtet, darunter ein Nachverfolgeszenario nach einem Axios-ähnlichen Paketproblem, bei dem nach dem Entfernen bösartiger npm-Pakete bereits kurze Zeit später Sekundärpayloads auf dem Registry-Umfeld auftauchten. Auch hier wird die gleiche Leitidee sichtbar: Angreifer bereiten Backups vor und reagieren schnell, wenn ihre Erstzugriffsvehikel geschlossen werden. Ergänzend tauchten Fälle auf, in denen VS Code-Mechanismen wie „tasks.json auto-execution“ ausgenutzt werden, sodass das bloße Öffnen geklonter Repositories zur Ausführung führt – ein Ansatz, der technische Gewohnheiten ausnutzt statt reine Klickpfade zu erzwingen. Experten interpretieren solche Umstellungen als Verlagerung von „handwerklicher“ Social Engineering-Logik hin zu industrieller Skalierung entlang wiederkehrender Entwickler-Workflows.
Für die Einordnung in Unternehmen ist weniger die konkrete Malware-Familie entscheidend als das Zusammenspiel aus IDE-Ausführung, Paket- und Repository-Missbrauch sowie späterer Datenexfiltration. UNK_DeadDrop zielt nach den vorliegenden Details auf Credential-Themen und Wallet-Assets ab, unter anderem über HTTP-POST-Exfiltration von ZIP-Payloads bzw. Daten aus Browser-Kontexten. Dadurch wird auch der Regulierungs- und Datenschutzaspekt greifbar: Je nach Jurisdiktion (EU/UK/US) stehen Unternehmen unter Erwartungsdruck, Sicherheitsvorfälle zu verhindern, personenbezogene und finanzbezogene Daten zu schützen und im Ernstfall nachweisbar reagieren zu können. Das betrifft nicht nur klassische Anti-Malware, sondern auch Logik zur Erkennung riskanter IDE-Erweiterungen, strengere Freigabeprozesse für Repository-Inhalte und eine belastbare Lieferkettenprüfung im Sinne sicherer Build-Prozesse.
Blickt man in die Vergangenheit, zeigt sich, dass solche Kampagnen sich über mehrere Stufen entwickeln: Zunächst dominierten häufige Einstiegspunkte wie Phishing, später kamen kompromittierte Entwickler-Tools und Build-Komponenten hinzu, etwa über npm oder IDE-bezogene Konfigurationen. Gleichzeitig wurden Mechanismen zur Umgehung von Abwehrmaßnahmen verbessert, etwa über mehrstufige Backdoors oder das Aufteilen von Logik in mehrere Sprachen. Das aktuell beschriebene Zusammenspiel aus JavaScript- und Python-Komponenten etwa passt in die Tendenz, Code auf unterschiedliche Laufzeitumgebungen zu verlagern und dadurch Signaturen zu variieren. In Summe deutet das auf eine nächste Wachstumsphase hin: Angriffe werden nicht nur „anpassbar“, sondern auch leichter in wiederholbare Taktiken übersetzbar, die schneller auf neue Abwehrmaßnahmen reagieren können.
Für die nächsten Monate ist deshalb mit einer weiteren Ausbreitung von IDE-getriggerten Angriffswegen zu rechnen. Unternehmen sollten davon ausgehen, dass Angreifer ihre Lures zunehmend stärker an legitimen Workflows ausrichten: Repository-Clone als Trigger, Editor-Öffnen als Ausführungspunkt, Erweiterungsinstallation als Persistenz- oder Funktionsanker. Praktisch bedeutet das, dass Security-Teams die Kontrolle über VS Code-Erweiterungen, Git-Hooks und Aufgaben-Runner genauer prüfen sollten, inklusive restriktiver Richtlinien für untrusted Quellpfade und einer klaren Trennung zwischen Entwicklungs- und Administrationskontexten. Gleichzeitig steigt der Bedarf an threat intelligence, die sich nicht nur auf Hashes oder bekannte Domains stützt, sondern auf Verhaltensmuster wie „Ausführung beim Ordneröffnen“ und „Mehrstufige Exfiltration aus Wallet-/Credential-Quellen“ fokussiert. Damit verschiebt sich der Sicherheitsauftrag hin zu einem Engineering-fähigen Schutz, der Entwicklerproduktivität und Sicherheitsanforderungen gemeinsam adressiert – und nicht gegeneinander ausspielt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "UNK_DeadDrop: Nordkoreanische Hacker missbrauchen VS-Code-Projekte als Malware-Chain" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "UNK_DeadDrop: Nordkoreanische Hacker missbrauchen VS-Code-Projekte als Malware-Chain" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »UNK_DeadDrop: Nordkoreanische Hacker missbrauchen VS-Code-Projekte als Malware-Chain« bei Google Deutschland suchen, bei Bing oder Google News!