LONDON (IT BOLTWISE) – Sicherheitsforscher warnen vor der Kampagne UNK_DeadDrop, bei der Angreifer Entwickler-Workflows gezielt missbrauchen. Statt klassischer Downloads starten kompromittierte Projekte beim Öffnen im Editor über eine „runOn: folderOpen“-Logik automatisch Schadcode. Betroffen sind laut Berichten fast 100 Organisationen, mit Fokus auf U.S.-Ziele und Finanz- sowie Kryptosektoren. Der Ansatz deutet auf eine systematische Skalierung der Rekrutierungs-Phishing-Strategien hin.
Eine neue Angriffsserie zeigt, wie schnell sich Infrastruktur und Social Engineering im Umfeld von Softwareentwicklung professionalisieren: Unter dem Namen UNK_DeadDrop werden offenbar Phishing-Kampagnen gefahren, die nicht primär auf Endgeräte, sondern auf den Werkzeugkasten von Entwicklerteams zielen. Sicherheitsforscher ordnen die Aktivität in die Nähe einer anhaltenden nordkoreanischen Bedrohungsgruppe ein, die bislang unter Bezeichnungen wie „Contagious Interview“ bekannt wurde. Kernelement ist die Idee, die Einstiegshürde klein zu halten, indem die Opfer vermeintlich legitime Code-Repositories öffnen und dabei unbemerkt Malware auslösen.
Die Story beginnt dabei eher unspektakulär: E-Mails enthalten Links zu GitHub-Repositories, die als technische Aufgaben, Code-Reviews oder kryptobezogene Projekte maskiert sind. Wer das Repository klont und den Projektordner im Editor öffnet, läuft in eine mehrstufige Ausführungskette. Laut den Forschern basiert ein Großteil der Kernlogik auf dem Zusammenspiel mit Projekteinstellungen rund um Visual Studio Code (VS Code) sowie dem „runOn: folderOpen“-Mechanismus. Dadurch genügt das bloße Öffnen des Ordners im Editor, ohne dass Nutzer aktiv klicken oder Interaktionen leisten müssen.
Technisch ist der Ansatz deshalb so wirksam, weil er den Entwicklungsprozess als Ausführungsvektor missbraucht. Die Kampagne setzt auf OS-spezifische Loader, darunter ein Go-Framework, das u. a. für macOS, Linux und Windows verwendet wird. Besonders kritisch ist, dass die Ausführung nicht erst bei einem späteren Schritt beginnt, sondern unmittelbar im Workflow des Editors ansetzt. Damit verschiebt sich die Abwehrdiskussion weg von klassischen Download-Signaturen hin zu Ereignissen, die in IDEs und deren Projektmetadaten anstoßen. Im Vergleich zu früheren Phasen solcher Angriffe, die oft stärker auf sichtbare Dateiabläufe setzten, wird hier stärker „in den Takt“ der Produktivität getroffen.
Je nach Betriebssystem variiert die Endauswirkung. Unter Linux und macOS führen die Ketten zu einer angepassten Version eines offenen Frameworks namens Overlord, die unter anderem Daten diebstahlbezogene Fähigkeiten mitbringt. Zusätzlich wird ein gefälschtes Sicherheitsdialogfeld genutzt, um das Systempasswort abzufragen. Unter Windows setzt der Pfad auf eine VBScript-Komponente, die anschließend eine CMD-Datei anstößt und schließlich eine bösartige VSIX-Erweiterung installiert. Diese Erweiterung tarnt sich dabei als „legitimer“ Dienst und kommuniziert mit einem externen Server, um Remote-Kommandos, Reconnaissance und Exfiltrationen anzustoßen.
Als Zielbild nennen die Analysen vor allem das Ausstechen von Geheimnissen aus Wallet-bezogenen Browser-Extensions sowie Credential- und Desktop-Wallet-Apps. Die Exfiltration erfolgt über HTTP-Requests an eine klar beschriebene Zieladresse; in der Windows-Kette wird zudem betont, dass keine dauerhafte Verbindung gepflegt wird, sondern dass ZIP-Dateien hochgeladen, bereinigt und danach beendet wird. Das ist eine klassische „Noise-Reduction“-Strategie: Angreifer minimieren Spuren und reduzieren die Zeitfenster, in denen Erkennungslogiken reaktiv werden. Zusätzlich berichten die Forscher von einem Wechsel: Zuvor war offenbar eine Windows-Go-Binary von Overlord im Einsatz, inzwischen wird stärker auf den neuen, editorgetriebenen Auslieferungsweg gesetzt, wahrscheinlich um Erkennungsmuster zu umgehen.
Im Marktumfeld passt das Muster zu dem, was Branchenbeobachter seit Jahren bei nordkoreanisch ausgerichteten Operationen sehen: nicht nur punktuelle Ziele, sondern die Professionalisierung von Delivery und Skalierung. Proofpoint ordnet UNK_DeadDrop dabei als eigenständig zu „Contagious Interview“ ein, unter anderem wegen anderer Initial-Access-Methoden (E-Mail statt Social Media) und wegen der Nutzung des Overlord-Frameworks. Gleichzeitig tauchen in verwandten Analysen immer wieder Referenzen zu anderen bekannten Akteursmustern auf; als Beispiel wird eine Ähnlichkeit beim Authentifizierungsmechanismus über Microsoft Graph in den Kontext von Lazarus-Operationen gestellt. Das unterstreicht, wie stark sich Taktiken an Plattform-APIs ausrichten lassen, statt ausschließlich auf klassische C2-Endpoints zu setzen.
Auch am Rand der Kernmeldung zeigen weitere Vorfälle, wie breit das „Developer-Tooling“-Fenster mittlerweile ausgenutzt wird. In den letzten Monaten wurden etwa Supply-Chain-Angriffe über npm-Pakete beschrieben, bei denen nach dem Entfernen von Schadpaketen sehr schnell alternative Payloads nachgeschoben wurden. Parallel dazu tauchten Kampagnen auf, die VS Code-Tasks oder Git-Hooks als Auslöser missbrauchen, also Mechanismen, die im Projektalltag häufig unkritisch aktiviert werden. Ein besonders relevantes Signal für Entscheider: Der Übergang von „Datei liegt irgendwo im Projekt“ zu „Editor-Ausführung beim Öffnen“ erhöht die Wahrscheinlichkeit, dass Standard-Policies und DevSecOps-Checks zu spät ansetzen. Genau dort müssen Prozesse neu kalibriert werden: Repository-Review, IDE-Settings und Extension-Installationspfade gehören zusammen gedacht.
Für die Zukunft bedeutet das vor allem eine Verschiebung der Abwehrstrategie. Da die Angreifer gezielt auf Entwicklerökosysteme setzen, wird die Frage weniger sein, ob ein einzelnes Tool „böse“ ist, sondern ob Ereignisse wie „folderOpen“-Hooks, automatische Task-Runner und Extension-Verteilung zuverlässig kontrolliert werden. Unternehmen sollten prüfen, wie ihre Security-Gates innerhalb von CI/CD, Secret-Handling und Workspace-Berechtigungen funktionieren, und ob sie das Prinzip „least privilege“ auch auf Entwicklungsumgebungen anwenden. Gleichzeitig lohnt sich eine organisatorische Perspektive: Wenn Bedrohungsakteure wie UNK_DeadDrop skaliert rekrutierungsgetriebenes Phishing industrialisieren, werden Tempo und Parallelität zunehmen, sodass ein reines Signature-Matching nicht mehr genügt. Entwicklungsteams sollten außerdem über klare Pfade zur Verifikation von Repositories, Extension-Quellen und Projektmetadaten informiert werden, damit produktive Abläufe nicht zum unbeabsichtigten Auslöser werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "UNK_DeadDrop: Nordkorea nutzt VS‑Code-Projekte als Malware-Startkette" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "UNK_DeadDrop: Nordkorea nutzt VS‑Code-Projekte als Malware-Startkette" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »UNK_DeadDrop: Nordkorea nutzt VS‑Code-Projekte als Malware-Startkette« bei Google Deutschland suchen, bei Bing oder Google News!