Группировка, которую разные исследователи отслеживают под псевдонимами WaterPlum, Nickel Alley, GhostCall и UNC1069, с декабря 2025 года использует неожиданный вектор атаки. Вместо привычных фишинговых писем или заражённых установщиков они взялись за конфигурационные файлы Visual Studio Code — самого популярного редактора кода в мире. Кампания получила название Contagious Interview, и её мишени весьма конкретны: основатели криптостартапов, технические директора и старшие инженеры в секторе Web3.
Механика атаки устроена элегантно и по-своему изящно. В проектный каталог подкладывается файл
Арсенал вредоносного ПО у группировки разросся до целой экосистемы. Новинка — StoatWaffle, модульный инструмент на Node.js. Его стилер-модуль ворует данные из браузеров на основе Chromium и Mozilla Firefox, а на macOS добирается до базы данных iCloud Keychain. Есть и RAT-модуль для удалённого доступа: перечисление файлов, поиск по директориям, выполнение команд в шелле и запуск произвольного кода через Node.js.
Параллельно используется FlexibleFerret (он же WeaselStore) — модульный бэкдор с вариантами на Go (GolangGhost) и Python (PylangGhost). Последний недавно распространялся через вредоносные npm-пакеты. К ним добавляются уже известные инструменты: стилер и загрузчик BeaverTail, бэкдор OtterCookie с широкими возможностями кражи данных и InvisibleFerret — бэкдор на Python.
Социальная инженерия в этой кампании заслуживает отдельного разговора. Северокорейские операторы проводят «убедительно срежиссированные» фейковые собеседования через LinkedIn. Под это создаются поддельные страницы компаний и вредоносные аккаунты на GitHub, GitLab, Bitbucket. Часть жертв ловят через приём ClickFix — поддельные CAPTCHA-страницы, которые заставляют пользователя вставить в терминал команду из буфера обмена. Среди целей были, например, контрибьюторы GitHub-организации Neutralinojs и основатель (эта попытка провалилась).
Отдельная ветка атак — цепочки поставок. Аккаунт одного из контрибьюторов Neutralinojs был скомпрометирован, и через него группировка проникла в саму организацию на GitHub. Сотни публичных репозиториев содержали вредоносный код. Пейлоады прятали даже в транзакциях блокчейнов Tron, Aptos и Binance Smart Chain.
Microsoft отреагировала обновлениями VS Code. В версии 1.109, вышедшей в январе 2026 года, появился параметр
На юридическом фронте тоже есть подвижки. Министерство юстиции США вынесло приговоры участникам схемы, обеспечивавшей прикрытие для северокорейских IT-работников. В ноябре 2025 года Одрикус Фагнасай (25 лет) и Джейсон Салазар (30 лет) получили 3 года условно и штраф в 2 000 долларов за сговор с целью мошенничества с использованием электронных средств связи. Александр Пол Трэвис (35 лет) был приговорён к году тюремного заключения и лишился 193 265 долларов — именно столько заработали северокорейцы, использовавшие его личность.
По данным компаний Flare и IBM X-Force, северокорейские IT-специалисты, работающие за рубежом под чужими именами, — это элита общества КНДР, часто выпускники престижных северокорейских университетов. Их задача тройная: генерировать доход для государства, вести корпоративный шпионаж и обеспечивать поддержку другим хакерским группировкам. Это не одиночки-фрилансеры, а часть скоординированной государственной программы.
Расследованием и публикацией данных о кампании занимались NTT Security, Abstract Security, MacPaw Moonlock Lab, Flare, IBM X-Force и сама Microsoft. То, что за несколько месяцев группировка успела сменить инфраструктуру доставки, внедрить новый модульный стилер и проникнуть в легитимный опенсорс-проект, говорит о скорости адаптации, к которой индустрия пока не вполне готова.
Изображение носит иллюстративный характер
Механика атаки устроена элегантно и по-своему изящно. В проектный каталог подкладывается файл
tasks.json с параметром "runOn: folderOpen". Это штатная функция VS Code, позволяющая автоматически запускать задачи при открытии папки проекта. Стоит разработчику открыть полученный репозиторий — и вредоносный код срабатывает без единого дополнительного клика. На ранних этапах для загрузки полезной нагрузки использовались домены на базе Vercel, потом группировка переключилась на скрипты, размещённые в GitHub Gist. Если на машине жертвы не установлен Node.js, малварь сама скачивает и устанавливает его с официального сайта, чтобы затем выполнить основной пейлоад. Арсенал вредоносного ПО у группировки разросся до целой экосистемы. Новинка — StoatWaffle, модульный инструмент на Node.js. Его стилер-модуль ворует данные из браузеров на основе Chromium и Mozilla Firefox, а на macOS добирается до базы данных iCloud Keychain. Есть и RAT-модуль для удалённого доступа: перечисление файлов, поиск по директориям, выполнение команд в шелле и запуск произвольного кода через Node.js.
Параллельно используется FlexibleFerret (он же WeaselStore) — модульный бэкдор с вариантами на Go (GolangGhost) и Python (PylangGhost). Последний недавно распространялся через вредоносные npm-пакеты. К ним добавляются уже известные инструменты: стилер и загрузчик BeaverTail, бэкдор OtterCookie с широкими возможностями кражи данных и InvisibleFerret — бэкдор на Python.
Социальная инженерия в этой кампании заслуживает отдельного разговора. Северокорейские операторы проводят «убедительно срежиссированные» фейковые собеседования через LinkedIn. Под это создаются поддельные страницы компаний и вредоносные аккаунты на GitHub, GitLab, Bitbucket. Часть жертв ловят через приём ClickFix — поддельные CAPTCHA-страницы, которые заставляют пользователя вставить в терминал команду из буфера обмена. Среди целей были, например, контрибьюторы GitHub-организации Neutralinojs и основатель (эта попытка провалилась).
Отдельная ветка атак — цепочки поставок. Аккаунт одного из контрибьюторов Neutralinojs был скомпрометирован, и через него группировка проникла в саму организацию на GitHub. Сотни публичных репозиториев содержали вредоносный код. Пейлоады прятали даже в транзакциях блокчейнов Tron, Aptos и Binance Smart Chain.
Microsoft отреагировала обновлениями VS Code. В версии 1.109, вышедшей в январе 2026 года, появился параметр
task.allowAutomaticTasks, по умолчанию выставленный в «off». Был добавлен «замок», не позволяющий локальному settings.json рабочей области переопределить глобальную настройку. В феврале 2026-го версия 1.110 получила дополнительные предупреждения — теперь пользователь видит предупреждение об автозапуске задач, даже если он уже дал проекту статус доверенного через Workspace Trust. На юридическом фронте тоже есть подвижки. Министерство юстиции США вынесло приговоры участникам схемы, обеспечивавшей прикрытие для северокорейских IT-работников. В ноябре 2025 года Одрикус Фагнасай (25 лет) и Джейсон Салазар (30 лет) получили 3 года условно и штраф в 2 000 долларов за сговор с целью мошенничества с использованием электронных средств связи. Александр Пол Трэвис (35 лет) был приговорён к году тюремного заключения и лишился 193 265 долларов — именно столько заработали северокорейцы, использовавшие его личность.
По данным компаний Flare и IBM X-Force, северокорейские IT-специалисты, работающие за рубежом под чужими именами, — это элита общества КНДР, часто выпускники престижных северокорейских университетов. Их задача тройная: генерировать доход для государства, вести корпоративный шпионаж и обеспечивать поддержку другим хакерским группировкам. Это не одиночки-фрилансеры, а часть скоординированной государственной программы.
Расследованием и публикацией данных о кампании занимались NTT Security, Abstract Security, MacPaw Moonlock Lab, Flare, IBM X-Force и сама Microsoft. То, что за несколько месяцев группировка успела сменить инфраструктуру доставки, внедрить новый модульный стилер и проникнуть в легитимный опенсорс-проект, говорит о скорости адаптации, к которой индустрия пока не вполне готова.
