Den nordkoreanska statsunderstödda cyberarmén Lazarus Group (kopplad till regimens militära underrättelsetjänst RGB) har intensifierat sina riktade angrepp mot programvaruutvecklare, kryptoorganisationer och teknikbolag i Europa och Nordamerika. Enligt färska analyser från internationella cybersäkerhetsforskare sprider gruppen nu en ny arsenal av sofistikerade bakdörrar, kända som Ted och curlRAT, genom att förgifta öppna källkodspaket och infiltrera utvecklingsmiljöer under förevändning av tekniska jobbintervjuer.
Syftet med attackerna är tudelat: dels att stjäla kryptovalutor och källkod för att finansiera den nordkoreanska regimens vapenprogram, dels att etablera fotfäste i företagens interna mjukvarufabriker för att möjliggöra storskaliga **leverantörskedjeattacker** mot tusentals slutkunder.
Falska jobbintervjuer och trojaniserade kodtester
Angriparnas mest framgångsrika intrångsmetod bygger på social manipulation av utvecklare via plattformar som LinkedIn och GitHub:
- Falska rekryterare: Lazarus-operatörer skapar trovärdiga profiler som utger sig för att rekrytera åt välkända techbolag eller riskkapitalbolag med erbjudanden om mycket lukrativa löner.
- Tekniska arbetsprover med inbäddad skadlig kod: Kandidater ombeds ladda ner och köra ett kodprojekt (ofta ett Node.js- eller Python-projekt) som sägs vara ett arbetsprov eller en kodningsuppgift.
- Dold kod i byggskript: När utvecklaren kör kommandot `npm install` eller `pip install` exekveras skadliga installationsskript (post-install hooks) i bakgrunden. Koden laddar ner och installerar bakdörren utan att ge några felmeddelanden.
Så fungerar bakdörrarna Ted och curlRAT
De nyligen identifierade bakdörrarna uppvisar en hög grad av teknisk anpassning för att undgå upptäckt i utvecklarmiljöer:
- Ted backdoor: En modulär bakdörr som etablerar krypterad kommunikation med angriparens ledningsservrar. Den söker igenom utvecklarens lokala kataloger efter SSH-nycklar, kryptoplånböcker och API-tokens till molnmiljöer som AWS, Azure och Google Cloud.
- curlRAT: Ett kompakt skriptbaserat verktyg som utnyttjar det legitima nätverksverktyget `curl` för att exfiltrera stulen data och ta emot instruktioner. Eftersom `curl` finns förinstallerat på i stort sett alla Linux- och macOS-system och rutinmässigt används av utvecklare, väcker nätverkstrafiken sällan misstankar i företagsbrandväggar.
Detta bör programvaruutvecklare göra nu
Om du är aktiv inom mjukvaruutveckling och hanterar känsliga miljöer bör du omedelbart vidta följande skyddsåtgärder: 1. Kör aldrig okända arbetsprover på din primära arbetsdator: Provkör kod från okända källor eller rekryterare uteslutande i en isolerad virtuell maskin (VM) eller en temporär sandlåda som saknar tillgång till ditt lokala nätverk och dina privata filer. 2. Inspektera package.json och setup.py: Granska alltid `scripts`-sektioner och externa beroenden innan du kör paketinstallationer från okända källor. 3. Skydda dina privata SSH-nycklar och API-tokens: Förvara SSH-nycklar på hårdvarutokens (t.ex. YubiKey med FIDO2/PIV) så att de inte kan stjälas av en infostealer från din `~/.ssh/`-katalog. 4. Använd miljövariabler med kort livslängd: Hårdkoda aldrig API-nycklar eller molnlösenord i kodfiler eller lokala konfigurationsfiler.
Konkreta åtgärder för IT- och säkerhetschefer
- Isolera utvecklarnätverk: Säkerställ att utvecklarnas maskiner inte har direkt administrativ åtkomst till produktionsmiljöer utan godkännandeprocedurer (Just-In-Time access).
- Övervaka terminalaktivitet och oväntade curl-anrop: Implementera EDR-lösningar (Endpoint Detection and Response) som larmar på ovanliga processkedjor, exempelvis om en Node.js- eller Python-process startar `curl` eller `bash` för att kommunicera mot okända externa IP-adresser.
- Blockera overifierade paket: Inför en central, godkänd paketproxy (såsom JFrog Artifactory eller Nexus) för interna beroenden, och spärra direktnedladdning av nypublicerade paket från publika register.