VS Code成后门入口：朝鲜黑客借开发者工具攻击超百机构

网络安全研究人员披露了两起与朝鲜黑客组织 Contagious Interview（又名 Famous Chollima、HexagonalRodent 和 Void Dokkaebi）相关的恶意活动。据 Proofpoint 报告，该组织以开发者岗位招聘或代码审查为主题的钓鱼邮件为诱饵，将 GitHub 仓库链接作为初始投递载体，对金融、加密货币、教育、科技等领域近百家机构发动攻击，此行动被定名为 UNK_DeadDrop。

利用 VS Code 自动执行机制

Proofpoint 研究员 Saher Naumaan 与 Carlos Rubio 指出，感染链始于邮件中附带的 GitHub 仓库链接。这些仓库托管着具备跨平台能力的恶意脚本，包括名为 Overlord 的开源 Go 框架。

将此活动与朝鲜关联的一项关键证据，是攻击链对 Microsoft Visual Studio Code（VS Code）项目的滥用——通过 runOn: folderOpen 技术，实现在代码编辑器打开项目时自动触发恶意代码执行，整个过程无需用户进行任何额外交互。Contagious Interview 组织自 2025 年 12 月起便开始采用这一手法。

企业安全机构记录到，在为期六周的攻击波次中，攻击者共发出 250 余封恶意邮件，目标覆盖近 100 家机构的个人账户。其中超过 75% 的攻击对象位于美国，其余分布于英国、澳大利亚、法国、巴西、德国、印度、以色列、日本和荷兰等国。

多阶段攻击链分析

邮件中附带的链接指向伪装成技术测试或加密货币项目的 GitHub 仓库，诱导目标将其克隆到本地，并在 VS Code 或 Cursor 中打开。这一操作将触发针对 Linux、macOS 和 Windows 系统的恶意加载程序。2026 年 5 月后观察到的后续诱饵，则转变为要求目标审查开源项目。

加载程序在不同平台上表现形式各异——macOS 和 Linux 系统上为 shell 脚本，Windows 上则为 VBScript。其主要任务之一是安装一个伪装成 Google 服务的恶意 VS Code 扩展（VSIX），随后与外部服务器建立通信，以实现远程命令执行、系统侦察，并从浏览器钱包扩展、凭证存储及桌面钱包应用中窃取数据。

在 Linux 和 macOS 的感染链中，最终阶段会部署定制版 Overlord 框架进行数据窃取，并通过弹出虚假安全认证窗口诱骗用户输入系统密码。Windows 攻击链则依赖 VBScript 载荷运行 CMD 文件来安装扩展。不管哪条路径，最终目标都是窃取钱包浏览器扩展与应用中的凭证，并通过 HTTP POST 请求将结果外传至服务器 23.137.105[.]75:5173。

Proofpoint 的分析还揭示了一个值得注意的差异：“与 Linux/macOS Agent 不同，Windows 管道并不维持持久连接，在上传 ZIP 文件后即执行清理并终止进程。”此外，攻击者曾一度直接分发 Windows 版 Overlord 二进制文件，随后变换了部署方式以降低被检测的概率。

攻击活动的技术演进

Proofpoint 选择将 UNK_DeadDrop 与 Contagious Interview 分开追踪，原因在于两者在初始访问手段（领英站内信 vs 邮件钓鱼）以及所使用的 Overlord 框架上均存在显著差异。这一框架也有别于朝鲜黑客传统上部署的 BeaverTail、InvisibleFerret 和 OtterCookie 等定制恶意软件家族。

“UNK_DeadDrop 活动表明，朝鲜以开发者为目标的金融窃取行动正日趋成熟。”报告这样写道，“从利用社交媒体平台的虚假面试，转向通过大规模招聘主题钓鱼邮件分发恶意仓库链接，攻击者正以工业化思路扩张行动规模。”

在云栈社区，我们持续追踪此类开源软件供应链攻击动态，更多深度分析可在 安全/渗透/逆向 板块找到。

恶意 VS Code 扩展威胁

与此同时，Yeeth Security 在官方市场中发现了三个恶意 VS Code 扩展：ByteBinTools.jupyter-powerdev-2026.6.8.vsix、ToolCraft.jupyter-powertools-3.21.0.vsix 以及 OLDev.markdown-mode-devtools-2.1.0.vsix。它们伪装成 Jupyter Notebook 的生产力增强工具，实则是能绕过终端安全防护的“复杂多阶段后门”。

这些恶意软件具备以下核心能力：

• 将 SharePoint 站点劫持为命令队列、受害者注册表以及数据外传通道；
• 通过 Microsoft Graph API 与 SharePoint 处理所有 C2 通信的 JavaScript 层；
• 支持任意文件读写与外传，同时包含能在 Windows 上调用可执行文件、在 Linux/macOS 上执行 Python 脚本的代码执行组件。

C2 通道除了下发命令或脚本外，还能发出 host_action 指令来执行 pwd、ls、cd、cat 等基础文件系统操作以及文件上传下载。尽管目前尚未发现它与已知朝鲜行动存在直接重叠，但其 JavaScript 与 Python 工具链与 Contagious Interview 显现出相似性，且 Microsoft Graph API 的认证机制与 Lazarus 组织的 Dream Job 攻击存在共通之处。

近期关联攻击活动汇总

以下为与该组织关联的一系列供应链及社会工程攻击活动梳理，其手法和规模令人警惕。

1. Axios 供应链攻击后续：攻击者使用了三个恶意 npm 包（redeem-onchain-sdk@1.0.7、nicegui@0.1.4 和 period-newline@0.1.0）投递信息窃取程序，数据回传至不同的 C2 设施。这些包被列为伪装成加密货币交易机器人的 GitHub 项目依赖项。OpenSourceMalware 团队指出：“Axios 恶意包从 npm 移除后不到 18 小时，首个次级载荷就已激活，说明攻击者准备了备用基础设施。”
2. TaskJacker 攻击活动：攻击者向 GitHub 用户的现有仓库中投放恶意 VS Code 任务文件，以蠕虫式方式进行传播。“通过武器化 VS Code 的 tasks.json 自动执行功能，攻击者构造了一种仅需克隆仓库并在 IDE 中打开即可让系统沦陷的攻击场景。”
3. 利用 Git 钩子：Contagious Interview 开始使用 .githooks/pre-commit，在目标克隆所谓“编码评估”仓库时触发恶意代码，一改以往将恶意指令藏匿于 .vscode/tasks.json 或 package.json 的做法。
4. 针对 PHP 开发者：通过已遭入侵的 Packagist 包（roberts/leads），Contagious Interview 向 PHP 开发者投递了一个 JavaScript 恶意加载程序。该程序连接区块链和公共 RPC 设施获取、解密并执行下一阶段 JavaScript 载荷。攻击者还利用从开发系统获得的权限纂改提交记录，向仓库源码文件注入多阶段混淆的 JavaScript 代码，最终载荷为 DEV#POPPER RAT 变种。
5. 跳板与蠕虫化传播：Trend Micro 指出，Void Dokkaebi 的行动不止于感染单个开发者。受控机器随即成为跳板，攻击者将其代码贡献武器化，使受害者的仓库成为感染下游开发者的媒介，形成类似蠕虫的、可自我维持的传播链条。
6. 恶意软件编译优化：Contagious Interview 将 InvisibleFerret 从可读的 Python 脚本迁移至 Cython 编译后的二进制文件，在 Windows 上分发 .pyd 文件，在 macOS 上分发 .so 文件。Trend Micro 分析认为，此次更新在保留后门访问、浏览器凭证窃取、剪贴板监控、键盘记录和加密货币钱包攻击等核心功能的同时，增加了额外的规避检测层。BeaverTail 也已从初期的下载型窃取工具，演变成兼具凭证收集与钱包木马化等重叠功能的更广谱恶意软件。
7. 信息窃取 npm 包：一个名为 terminal-logger-utils 的恶意 npm 包被发现针对 Telegram 数据、SSH 密钥、加密钱包、云配置及环境变量。其发布者 “jpeek895” 曾在 2026 年 4 月下旬发布过类似包 terminal-logger-pack。另一个 npm 包 js-logger-pack 则被确认投递了具备信息窃取和远程访问木马（RAT）功能的 ELF 二进制文件。
8. macOS 环境成为靶标：BlueNoroff（又名 Sapphire Sleet 和 UNC1069）针对高价值金融领域的 macOS 环境投放信息窃取程序。其社会工程手段包括伪造 Zoom 和 Microsoft Teams 会议主题诱饵以及 ClickFix 式提示，诱骗受害者安装所谓“缺失”的会议 SDK。此次攻击最终部署了 Cabbage RAT（又名 CageyChameleon）的更新变种、能够窃取凭证的 PowerShell 植入程序，以及一个新发现的 macOS 数据窃取工具包 “Mach-O Man”。
9. 绕过 macOS 防护：微软指出，通过诱使用户手动执行 AppleScript 或终端命令，Sapphire Sleet 使恶意代码运行在由用户启动的上下文之中，从而巧妙地绕开了 macOS 的 TCC 机制、Gatekeeper、隔离强制和公证检查等层层防护。
10. 大规模 GitHub 投毒：Contagious Trader 组织通过 50 多个恶意包，将恶意代码嵌入 100 多个 GitHub 仓库，针对加密货币开发者投放 PromptMink、OtterCookie 以及一个名为 ClipViper 的新型 Windows 剪贴板窃取程序。Panther 指出，这些恶意仓库通过 X 与 Reddit 上的认证账号进行推广，以伪造的开发者身份和机器人刷星来提高可信度，并分布在 40 多个 GitHub 用户和组织名下，作为冗余的投递前端。
11. OtterCookie 变种：多个一次性账号发布的混淆恶意包，通过 postinstall 钩子投放 OtterCookie 信息窃取程序变种。另一个恶意 npm 包 node-env-resolve 被确认使用了六个与 OtterCookie 工具包匹配的运行时依赖项。
12. AI 辅助开发与社会工程：Contagious Interview 正利用生成式人工智能来辅助开发加载程序，并设立空壳公司，通过虚假领英账号发布职位，借此开展社会工程。Expel 数据显示，这些行动可能由多支团队并行执行，2026 年前三个月已成功窃取 200 万美元的加密货币。Expel 研究员 Marcus Hutchins 透露了一个惊人数字：“攻击者从 2,726 名受感染开发者的系统中，外传了 26,584 个加密货币钱包。”
13. Polymarket 交易员成目标：代号为 jsonspack 的供应链攻击动用了 27 个恶意 npm 包，用于投递 JavaScript RAT 和信息窃取程序，或投放用于获取未指定载荷的加载程序。另一个恶意 npm 包 sleek-pretty 则专门瞄准运行 Polymarket 交易机器人的开发者，实施系统指纹识别、SSH 后门安装、文件系统外传，并定向窃取 Polymarket CLOB API 凭证。
14. 大规模持续行动：2026 年 3 月 20 日至 4 月 20 日间，一场持续进行的恶意软件活动涉及 108 个恶意包和 261 个包版本，旨在窃取凭证、Telegram Desktop 会话和钱包密钥，并利用 BeaverTail 和 OtterCookie 等恶意软件家族建立持久性访问。

最后，Expel 的总结点出了一个更深的动机逻辑：“虽然纯粹以经济为动机的网络犯罪对多数国家缺乏吸引力，因为制裁带来的损失远超收益，但朝鲜的情况相当特殊。该国本已承受极其严厉的制裁，国际社会几乎无法施加更多威慑，而对其严重受限的经济活动而言，这些网络窃取的收益却显得格外可观。”

参考来源： North Korean Hackers Are Turning Developer Tools Into Malware Delivery Channels