LONDON (IT BOLTWISE) – Eine Kampagne namens REF9403 nutzt gefälschte Jobangebote und Coding-Tests, um Entwickler über Slack zu erreichen. In scheinbar harmlosen SVG-Flaggen verbergen Angreifer Base64-Fragmente, die beim Start eines Servers zu einem mehrstufigen Schadprogramm zusammengesetzt werden. Laut Elastic Security stehlen die Module Browser- und Wallet-Credentials, entführen Dateien, übernehmen per Socket.IO entfernte Kontrolle und lesen die Zwischenablage. Die Aktivität zeigt erneut, wie schnell aus dem Kompromiss einer einzelnen Entwicklerrolle eine Lieferkettenattacke werden kann.
Statt nur an E-Mail-Anhängen setzt eine neue Kampagne, die mit REF9403 verfolgt wird, auf einen deutlich direkteren Draht zu Entwickler-Teams: Social Engineering über Slack, gefolgt von einem „Coding Assessment“ als Einstieg. Der Kern der Methode liegt dabei nicht im Text der vermeintlichen Stelle, sondern in der technischen Ausführung der Aufgabe. Wer das trojanisierte Repository ausführt, erhält laut Elastic Security ein mehrstufiges Payload-Setup, das exakt auf die Logik des vom DPRK-Umfeld abgeleiteten OtterCookie-Komplexes abgestimmt ist. Damit wird aus einer scheinbar standardmäßigen Bewerbungsaufgabe eine echte Kompromittierung.
Technisch betrachtet nutzen die Angreifer einen Steganografie-Ansatz, der sich im Detail leicht übersehen lässt: In SVG-Dateien, die wie normale Länderflaggen aussehen (z. B. AE.svg oder AF.svg), verstecken sie Base64-kodierte Daten innerhalb von HTML-Kommentaren. Die Daten liegen dabei „fragmentiert“ in mehreren SVG-Dateien innerhalb eines Assets-Ordners und werden anschließend durch einen JavaScript-Mechanismus im Repository, insbesondere serverValidation.js, wieder zusammengesetzt. Danach wird das Schadprogramm so orchestriert, dass es beim Booten eines Servers wieder aktiv wird. Diese Kombination aus harmloser Optik, geräte- und servernaher Ausführung und Start-Triggern erhöht die Chance, dass die Malware nicht sofort auffällt.
Der Ablauf beginnt laut den vorliegenden Beobachtungen mit einer Nachricht, die Mitglieder der eigenen Community in einem Slack-Workspace mit vermeintlichen Jobangeboten adressiert. Auffällig ist die zeitliche Platzierung: Ende Mai 2026 wurden Beiträge in einem #jobs-Kanal von einem Nutzer namens Maxwell veröffentlicht, mit einer Stellenbeschreibung für die Modernisierung einer E-Commerce-Plattform. Wer Interesse zeigte, wurde in Direktnachrichten auf eine Bewertungsaufgabe verwiesen, ein Muster, das bereits aus der länger laufenden Contagious-Interview-Kampagne bekannt ist. Das „Assessment“ sollte dabei als vermeintlich objektiver Test dienen, technisch aber als Ausführungsvektor für das trojanisierte Repository.
Im nächsten Schritt wird die Lücke zur operativen Infrastruktur sichtbar: Elastic beschreibt, dass das Hauptmodul mehrere Aufgaben übernimmt – von Datendiebstahl über Dateiexfiltration bis zur Fernsteuerung. Die OtterCookie-nahe Payload umfasst vier Module, darunter ein Browser- und Kryptowallet-Stealer, ein Files-Grabber für Dateien mit bestimmten Erweiterungen, ein Socket.IO-basierter Remote-Access-Trojan (RAT) sowie ein Clipboard-Stealer. Zusätzlich werden Windows-Exekutables abgelegt. Für Unternehmen ist das besonders relevant, weil diese Module in einer Kette greifen können: Credential-Abfluss erhöht die Zugriffsmöglichkeiten, Clipboard-Reads liefern oft zusätzliche Geheimnisse, und Remote-Control ermöglicht die weitere Bewegung im Umfeld.
Auch der Abgleich mit OtterCookie unterstreicht die strategische Weiterentwicklung. OtterCookie tauchte nach Angaben im Umfeld von September 2024 erstmals als Werkzeug für Remote-Commands und das Suchen von Kryptoschlüsseln auf, entwickelte sich aber zu einem modularen System mit C2-Integration über Socket.IO, VM-Erkennung sowie dem Laden weiterer Module. Microsoft hatte bereits im März eine Funktionsbreite beschrieben, die von Shell-Kommandos über Exfiltration bis zu zielgerichteten Modulsammlungen reicht. Branchenanalysten ordnen solche modularen Umbauten als typische Reifeprozesse in staatlich motivierten Kampagnen ein, weil sie Wiederverwendung und Anpassung an neue Zielumgebungen erleichtern. In der Praxis heißt das: Ein einzelnes „Assessment“-Repository kann mehrere Rollen gleichzeitig abdecken.
Für den Markt- und Angriffsvergleich ist entscheidend, dass die Entwicklerzielsetzung nicht isoliert bleibt. Aus der Branche wird die Kampagne als Beispiel für eine gefährliche Schnittstelle beschrieben: Ein kompromittierter Entwickler liefert als Initial Access oft genau den Hebel, der für spätere Supply-Chain-Angriffe auf nachgelagerte Organisationen benötigt wird. Genau dieses Argument führt Elastic an, wenn die Ermittler betonen, wie der Zugriff auf eine einzelne Person oder ihr Arbeitsumfeld sich in größere organisatorische Auswirkungen übersetzen kann. Gleichzeitig deutet die Beobachtung, dass OtterCookie-ähnliche Fähigkeiten mit weiteren Diebstahl- und Trojan-Varianten harmonieren, auf Parallelisierung hin: Die Angreifer verfolgen mehrere Verbreitungs- und Nutzungswege, statt sich auf einen einzigen Einstiegskanal zu verlassen.
Besonders aufschlussreich ist außerdem die Signatur der Suche nach AI-Entwicklungs-Tooling-Extensions. Unter den von OtterCookie-bzw. OtterCookie-nahen Modulen gefundenen Dateitypen tauchen Erweiterungen wie.claude, .cursor, .gemini, .windsurf, .pearai und.llama auf. Das ist mehr als ein generisches „Wallet suchen“-Skript: Es wirkt wie eine gezielte Datenernte bei Personen, die aktuell mit KI-gestützter Programmierung arbeiten und damit in ihren lokalen Umgebungen oft Konfigurationen, Schlüsselmaterial oder Nutzungsmetadaten vorhalten. Für Unternehmen ist das ein operatives Alarmzeichen, weil der Schaden nicht nur bei laufenden Credentials entsteht, sondern auch über lokale Entwicklungsstände und Artefakte in Richtung langfristiger Wiederverwendbarkeit gehen kann.
Für die Zukunft ergibt sich daraus ein klares Sicherheits- und Compliance-Bild. Auf der technischen Seite müssen Teams Steganografie- und „lebensechte“ Dateiformate wie SVG in Bedrohungsmodelle aufnehmen: Nicht nur der Code, sondern auch eingebettete Daten in Kommentaren oder Ressourcenpfaden sind potenzielle Ausführungstreiber. Auf der Marktseite ist damit zu rechnen, dass Social-Engineering-Ketten künftig stärker auf Chat-Ökosysteme und automatisierte „Aufgabencontainer“ statt klassische Phishing-Links setzen. Auf der regulatorischen Ebene verschärft der Credential- und Wallet-Abfluss Fragen nach Datenschutz, Protokollierung und Meldepflichten bei Sicherheitsvorfällen, insbesondere wenn personenbezogene Daten betroffen sind. Entscheidend wird sein, dass Security-Teams und Entwicklerprozesse (z. B. Code-Review, Rechtesysteme, isolierte Ausführungsumgebungen für Prüfprojekte) als gemeinsame Kontrollschicht gestaltet werden, statt nur einzelne Signaturen zu blockieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Fake-Coding-Tests verstecken DPRK-Malware in SVG-Flaggen (REF9403)" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Fake-Coding-Tests verstecken DPRK-Malware in SVG-Flaggen (REF9403)" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Fake-Coding-Tests verstecken DPRK-Malware in SVG-Flaggen (REF9403)« bei Google Deutschland suchen, bei Bing oder Google News!