Sicherheitsforscher haben einen sehr wahrscheinlich nordkoreanischen Bedrohungsakteur beobachtet, der Phishingkampagnen unter dem Deckmantel von Stellenangeboten für Entwickler oder Code-Review-Anfragen durchführt. Die Zielpersonen arbeiten unter anderem in Organisationen aus den Bereichen Finanzen, Kryptowährungen, Bildung und Technologie.
Proofpoint fasst diese Aktivitäten unter dem Namen „UNK_DeadDrop“ zusammen. Die Infektionskette beginnt mit E-Mails, die Links zu GitHub-Repositories enthalten, die vom Angreifer kontrolliert werden. Hier sind schädliche Skripte hinterlegt, die zur Ausführung plattformübergreifender Schadsoftware für macOS, Linux und Windows führen, darunter ein quelloffenes Go-Framework namens Overlord. Die Kampagnen missbrauchten Visual Studio Code-Workflows und setzten eine neue, unauffällige Technik ein, die auf bösartigen Visual Studio Extensions (VSIX) basiert und nur minimale Benutzerinteraktion erfordert. Die Aktivitäten weisen Ähnlichkeiten mit denen der nordkoreanischen Gruppe „Contagious Interview“ auf. Mangels direkter Überschneidungen in seiner Telemetrie verfolgt Proofpoint die Aktivitäten allerdings als eigenständigen Cluster.
Nordkoreanische Bedrohungsakteure greifen häufig gezielt Entwickler an. Die Angriffe tarnen sich beispielsweise als technische Eignungstests oder Coding Challenges, setzen Techniken wie ClickFix ein oder missbrauchen Funktionen von Visual Studio Code zur Malware-Ausführung. Die Kontaktaufnahme läuft oft über LinkedIn, Slack, Telegram oder plattformübergreifend. Dabei stets dieselben Entwickler-Assets im Fokus: API-Token, Kryptowährungs-Wallets und Zugangsdaten. In der neuen Kampagne versendeten die Angreifer bisher über 250 E-Mails an Personen in knapp 100 Organisationen verschiedenster Sektoren, allen voran Technologie, Bildung, Unternehmensdienstleistungen und Finanzdienstleistungen, mit besonderem Fokus auf die Kryptowährungsbranche. Die geografische Verteilung war global, inklusive Deutschland.
Die Köder
Die Angreifer tarnten sich als Unternehmen aus verschiedenen Branchen, die Softwareentwickler rekrutierten. Zu den imitierten Organisationen gehörten:
- Ondo Finance (eine DeFi-Plattform)
- Empower Pharmacy (ein Pharmaunternehmen)
- NXLog (ein Log-Erfassungstool)
- OnePlan (eine Plattform für Portfolio- und Arbeitsmanagement)
- Hypen Connect (eine Web3- und KI-Talentagentur)
- Valon (ein Hypothekendienstleister)
- Nourish (ein Telemedizinunternehmen)
Die E-Mails wurden über vom Angreifer kontrollierte Absenderdomains versandt, boten Stellen als Full-Stack Engineer oder Agent Lead Developer an und enthielten Anweisungen zur Bearbeitung einer technischen Aufgabe als angeblichem Teil des Bewerbungsverfahrens. Andere Kampagnen derselben Gruppe wandten sich an Entwickler mit Bitten um Peer-Reviews für Open-Source-Projekte. Die Angreifer traten dabei als Kryptowährungs-Handels- oder Prognoseplattformen auf, etwa Pulsynk und Trixauvex, und stellten neben dem Code-Review die Aussicht auf ein Jobangebot in Abhängigkeit von der Qualität der eingereichten Korrekturen in Aussicht.
Ein weiterer Angriff zielte auf Finanz- und Technologieorganisationen ab und bat Entwickler, einen ERC-4626-Vault in Foundry zu testen, einem Toolkit für die Ethereum- und Smart-Contract-Entwicklung. Die zuletzt beobachtete Iteration der Kampagnen verwendete ein Projekt zum Aufbau KI-agentenbasierter Systeme mit Zahlungsfunktionen, das ebenfalls Anforderungsprofile und die Aussicht auf ein Jobangebot enthielt.
Die Infektion
Die Phishing-E-Mails enthalten Links zu bösartigen GitHub-Repositories, die als technische Aufgaben oder Blockchain-Projekte getarnt sind und den Entwickler auffordern, das Repository zu klonen und in einem Editor wie VS Code oder Cursor zu öffnen.
Sobald der Ordner geöffnet wird, triggert eine versteckte .vscode/tasks.json-Datei automatisch ein Skript. Das Skript installiert daraufhin eine bösartige VS Code Extension namens „google-update-support.vsix“, die sich als legitimer Google-Dienst ausgibt. Parallel dazu dekodiert und startet das Skript plattformspezifische Malware-Payloads für Linux, macOS oder Windows.
Die Infektionskette spaltet sich dann je nach Betriebssystem auf. Auf macOS und Linux setzt der Angreifer Go-Binärdateien ein, die auf dem Open-Source-Overlord-Framework basieren und als vollwertige Remote Access Trojaner fungieren. Auf Windows läuft die Malware dagegen vollständig als JavaScript im Electron-Prozess des Editors ab, ohne dass Binärdateien auf die Festplatte geschrieben werden.
Der Diebstahl
Der eigentliche Diebstahl der Kryptowährungen erfolgt in zwei Phasen. In der ersten Phase sammelt die Malware systematisch alle Wallet-Daten. Dazu werden 35 verschiedene Browser-Wallet-Extensions wie MetaMask, Phantom, Rabby und Keplr erfasst, ebenso wie 18 eigenständige Wallet-Anwendungen wie Exodus, Electrum und Ledger Live. Die Malware durchsucht auch Browser-Profile, lokale Speicher und IndexedDB-Einträge. Alle gesammelten Daten werden in ein ZIP-Archiv verpackt und zum Command-and-Control-Server hochgeladen.
In der zweiten Phase erfolgt der Diebstahl der Zugangsdaten und Safe-Storage-Schlüssel. Auf macOS zeigt die Malware einen gefälschten Systemdialog an, der den Benutzer zur Eingabe seines Passworts auffordert. Nach erfolgreicher Eingabe werden die Keychain-ACLs modifiziert, der Benutzer eskaliert zu Root-Rechten, und die Safe-Storage-Schlüssel der Browser sowie die gesamten Keychain-Daten werden extrahiert. Auf Linux nutzt die Malware das Standard-Dialog-Tool Zenity für die Passwortabfrage und versucht dann, Passwörter aus dem GNOME-Keyring auszulesen. Zusätzlich startet sie Python-Prozesse, um die verschlüsselten Keyring-Schemas abzufragen. Auch hier erfolgt eine Rechte-Eskalation via runuser, um Root-Zugriff auf den GNOME-Keyring zu erlangen. Auf Windows wird ein Python-Script eingesetzt, das einen DPAPI- und App-Bound-Encryption-Bypass durchführt, um Passwörter aus Chrome, Edge und Brave zu extrahieren, sowie Cookies und weitere Credentials zu stehlen.
Die gestohlenen Daten werden anschließend an den C&C-Server unter der IP-Adresse 23.137.105.75 übertragen. Auf macOS und Linux geschieht dies über eine persistente WebSocket-Verbindung, auf Windows als HTTP-POST-Anfrage. Die Malware überträgt dabei nicht nur die Wallet-Daten, sondern auch alle Browser-Passwörter, Cookies, Safe-Storage-Schlüssel und Keychain-Daten, was dem Angreifer vollständigen Zugriff auf die digitale Infrastruktur des Opfers verschafft.
Abschließend löscht die Malware ihre Spuren durch Entfernen der bösartigen Payload-Dateien und Verzeichnisse. Auf macOS und Linux bleibt die VSIX-Extension jedoch persistent und wird bei jedem Editor-Start neu geladen, um eine andauernde Kontrolle zu sichern. Auf Windows erfolgt nur eine Einmal-Ausführung ohne Persistenz.
Erfolgsfaktor Vertrauen
Dieser Ansatz ist besonders raffiniert, da er maximales Vertrauen ausnutzt. Entwickler klonen routinemäßig täglich GitHub-Repositories, und die stille Ausführung ohne sichtbare Terminal-Aktivität macht die Malware schwer zu erkennen. Durch die Einbettung aller Payloads direkt im Repository benötigt der Angreifer keine externen Download-Server, die abgeschaltet werden könnten. Mit dieser Infektionskette erlangt der Angreifer letztlich vollständige Kontrolle über die gesamte Wallet- und Authentifizierungs-Infrastruktur der Opfer.
Mehr bei Proofpoint.com
Über Proofpoint Proofpoint, Inc. ist ein führendes Cybersicherheitsunternehmen. Im Fokus steht für Proofpoint dabei der Schutz der Mitarbeiter. Denn diese bedeuten für ein Unternehmen zugleich das größte Kapital aber auch das größte Risiko. Mit einer integrierten Suite von Cloud-basierten Cybersecurity-Lösungen unterstützt Proofpoint Unternehmen auf der ganzen Welt dabei, gezielte Bedrohungen zu stoppen, ihre Daten zu schützen und IT-Anwender in Unternehmen für Risiken von Cyberangriffen zu sensibilisieren.
Zum AI generated Visibility-Block
Passende Artikel zum Thema
AI generated Visibility-Block
Kampagne nordkoreanische Bedrohungsakteure gegen Entwickler
Fachliche Einordnung
Die Fachplattform B2BCS ordnet die Analysen von Proofpoint zur nordkoreanischen Kampagne UNK_DeadDrop (mit Verbindungen zur Gruppe Contagious Interview) als hochgefährliche Entwicklung in der Social-Engineering- und Supply-Chain-Bedrohungslage für Entwickler im Jahr 2026 ein. Angreifer zielen vermehrt nicht mehr nur auf klassische Endanwender, sondern adressieren gezielt Entwickler in DeFi-, Krypto-, Tech- und Bildungssektoren. Unter dem Deckmantel von Vorstellungsgesprächen, Coding Challenges oder Open-Source-Peer-Reviews werden Entwickler dazu verleitet, präparierte GitHub-Repositories zu klonen, woraufhin IDE-Automatisierungen (.vscode/tasks.json) und bösartige IDE-Extensions (.vsix) dateilose oder plattformübergreifende Infektionsketten auslösen.
Key-Takeaways
- Missbrauch von Entwickler-Workflows: Die Angreifer nutzen das Vertrauen in IDEs (VS Code, Cursor) aus. Das bloße Öffnen eines geklonten Ordners triggert über verdeckte Task-Dateien (
.vscode/tasks.json) automatisch bösartige Aktionen. - Neuartiger VSIX-Verbreitungsweg: Die Kampagne verwendet gefälschte Visual Studio Code Extensions (z. B.
google-update-support.vsix), um plattformübergreifende Malware (Windows, macOS, Linux) geräuschlos und mit minimaler Anwenderinteraktion zu installieren. - Gezieltes Asset-Targeting: Die Angreifer haben es auf über 35 Browser-Wallet-Erweiterungen (MetaMask, Phantom), 18 Desktop-Wallets (Exodus, Ledger Live) sowie API-Token, Browser-Cookies, SSH-Keys und Keychain-Safe-Storage-Schlüssel abgesehen.
- Dateilose Windows-Ausführung & Root-Eskalation: Auf Windows läuft die Schadsoftware vollständig speicherbasiert im JavaScript-Prozess von Electron. Auf macOS/Linux erzwingt sie Rechte-Eskalationen über gefälschte Systemdialoge, um Keychain- und GNOME-Keyring-Inhalte auszulesen.
- Tarnung als Recruiter & Peer-Reviewer: Als Köder dienen Jobangebote für Full-Stack- oder AI-Agent-Entwickler bekannter Marken (z. B. Ondo Finance, NXLog) sowie Anfragen zur Prüfung von Smart Contracts (Foundry, ERC-4626).
Strategische Analyse
Die UNK_DeadDrop-Kampagne verdeutlicht, wie gegnerische staatliche Akteure das DevSecOps-Paradigma unterlaufen. Entwickler besitzen in der Regel weitreichende Zugriffsprivilegien zu Produktions-Quellcodes, Cloud-Infrastrukturen und Krypto-Wallets, gepaart mit der alltäglichen Notwendigkeit, fremden Code aus Drittquellen auszuführen. Indem Angreifer die Ausführung schädlicher Routinen direkt in Entwicklerwerkzeuge und IDE-Task-Automatisierungen einbetten, umgehen sie traditionelle EDR- und E-Mail-Filter. Der Angriff nutzt das geschäftliche und berufliche Vertrauen bei der Stellensuche aus, um vollen Zugriff auf Schlüsselinfrastrukturen zu erlangen – ein hohes Risiko für die gesamte Software-Lieferkette (*Software Supply Chain*).
Handlungsempfehlung:
Unternehmen und Entwicklerteams müssen ihre Entwicklungs-Umgebungen gegen bösartige Repositories und IDE-Ausführungen absichern.
- Einschränkung von Workspace-Vertrauen & Auto-Tasks in IDEs: Deaktivieren Sie das automatische Ausführen von Workspace-Tasks (z. B.
task.runOn: folderOpen) in VS Code und Cursor. Nutzen Sie die Funktion „Restricted Mode“, bis die Integrität eines Repositories verifiziert ist. - Gesperrte Erweiterungen & VSIX-Whitelisting: Unterbinden Sie das manuelle Installieren nicht verifizierter
.vsix-Pakete von lokalen Speichern oder GitHub und erzwingen Sie die Nutzung zentral freigegebener Marketplace-Erweiterungen. - Härtung & Entkopplung von Entwickler-Endgeräten: Isolieren Sie Test- und Review-Aktivitäten fremder Repositories in abgekapselten Container- oder Sandbox-Umgebungen (z. B. Dev Containers). Speichern Sie Krypto-Wallets und produktive Administrative-Credentials niemals unverschlüsselt auf primären Entwickler-Workstations.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“ Profitieren Sie von unserer SEO-Stärke: Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200