Северокорейская группировка, отслеживаемая как WaterPlum и связанная с кампанией Contagious Interview, начала использовать необычный вектор атаки: вредоносные проекты Visual Studio Code с внедрением семейства StoatWaffle. Целью становятся опытные разработчики, в первую очередь из криптовалютного и Web3-сектора, а канал доставки — доверенная среда разработки и процесс технического собеседования.
Вредонос StoatWaffle и новая тактика через tasks.json в VS Code
По данным NTT Security, с декабря 2025 года WaterPlum использует конфигурационный файл tasks.json в VS Code для автоматического запуска вредоносных задач. Ключевой параметр runOn: «folderOpen» позволяет выполнять задачу при каждом открытии папки проекта, то есть без явного действия со стороны разработчика.
Задача загружает данные с веб‑приложения на платформе Vercel (в более новых вариантах — со скриптов GitHub Gist) и запускает их как код Node.js. При этом, как подчёркивает NTT Security, поведение кода кроссплатформенно и одинаково опасно для Windows, macOS и Linux.
Многоэтапная загрузка и модульная архитектура StoatWaffle
Загруженный первичный компонент сначала проверяет наличие Node.js в системе. При его отсутствии вредонос самостоятельно скачивает официальный дистрибутив Node.js и устанавливает его, тем самым создавая себе исполняющую среду. Далее запускается довнлоадер, который периодически обращается к командному серверу, получая следующий этап цепочки заражения.
По наблюдениям исследователей, StoatWaffle реализован как модульный malware на Node.js и включает как минимум два типа модулей: stealer (кража данных и учётных записей) и RAT (удалённое управление системой жертвы). Архитектура модульна: новые функциональные блоки могут бесшовно добавляться без переразвертывания всей кампании, что подтверждает оценку экспертов о том, что WaterPlum активно развивает и обновляет свой инструментарий.
Фейковые собеседования и таргетинг криптовалютного сектора
Microsoft в своём анализе Contagious Interview отмечает, что первичный доступ к системам разработчиков достигается через правдоподобно выстроенные процессы найма. Жертвам предлагается пройти техническое интервью, в рамках которого их убеждают выполнить команды или установить пакеты из GitHub, GitLab или Bitbucket «для оценки навыков».
Важная особенность этой социально‑инженерной схемы: в LinkedIn и других каналах хакеры КНДР целенаправленно выходят не на младших программистов, а на основателей, CTO и ведущих инженеров криптовалютных и Web3‑проектов. Эти люди часто имеют расширенные права доступа к инфраструктуре и криптокошелькам компании. Один из недавних эпизодов — неудачная попытка атаковать основателя AllSecure.io через поддельное собеседование.
OtterCookie, InvisibleFerret и FlexibleFerret: экосистема вредоносов WaterPlum
StoatWaffle — лишь часть более широкой экосистемы вредоносного ПО, применяемой в связке с Contagious Interview. В цепочках атак фиксируются:
OtterCookie — бэкдор с расширенными возможностями кражи данных; InvisibleFerret — Python‑бэкдор, который ранее часто доставлялся через компонент BeaverTail, но теперь всё чаще выступает последующим этапом после OtterCookie; FlexibleFerret (также известен как WeaselStore) — модульный бэкдор с вариантами на Go (GolangGhost) и Python (PylangGhost), который всё чаще становится конечной полезной нагрузкой при атаках через VS Code‑проекты с GitHub.
Меры защиты в Visual Studio Code и рекомендации разработчикам
На фоне злоупотребления механизмом Tasks, Microsoft внедрила в январском обновлении VS Code 1.109 новую настройку task.allowAutomaticTasks, по умолчанию отключающую автозапуск задач из tasks.json при открытии рабочей области. Важный аспект безопасности: эта опция больше не может задаваться на уровне workspace, поэтому вредоносный репозиторий с собственным .vscode/settings.json не сможет переопределить глобальные пользовательские настройки.
Версии 1.109 и 1.110 также добавляют вторичное предупреждение при обнаружении автозапускаемых задач в новом workspace — дополнительный барьер после механизма Workspace Trust. Экспертам по безопасности рекомендуется включать эти защитные механизмы и обучать команды разработки проверять содержимое .vscode-каталогов, особенно в сторонних репозиториях и тестовых проектах для собеседований.
Связь с программой ИТ‑работников КНДР и действия правоохранительных органов
Активность WaterPlum и кампаний наподобие Contagious Interview вписывается в более широкий контекст государственной киберпрограммы КНДР. Министерство юстиции США сообщило о вынесении приговора трём гражданам США, помогавшим северокорейским ИТ‑специалистам обходить санкции через подставные аккаунты и работу по найму. Один из них получил год лишения свободы и конфискацию более 190 тысяч долларов, заработанных КНДР с использованием его личности.
Согласно совместному исследованию Flare и IBM X-Force, ИТ‑работники КНДР проходят обучение в престижных вузах и многоступенчатый отбор, после чего становятся «элитой» и инструментом государства: их задачи включают генерацию дохода, кибершпионаж, вымогательство и поддержку других северокорейских группировок. Атаки на разработчиков и криптопроекты через VS Code и LinkedIn являются логичным продолжением этой стратегии.
Сложные многоступенчатые кампании вроде Contagious Interview демонстрируют, что даже привычные инструменты — IDE, репозитории кода и процессы найма — больше нельзя считать безопасными «по умолчанию». Организациям, особенно в криптовалютном и Web3‑секторе, следует формализовать политику проверки тестовых заданий и проектов с GitHub, отключить автозапуск задач в VS Code, внедрить мониторинг подозрительной активности Node.js и других интерпретаторов, а также проводить регулярное обучение сотрудников распознаванию фишинга и фейковых собеседований. Чем лучше выстроена культура кибербезопасности у разработчиков, тем сложнее группировкам уровня WaterPlum превратить доверие к инструментам разработки в успешный вектор атаки.
