Nordkoreanische Hacker infizieren Entwickler durch missbrauchte GitHub-Repositories

Sicherheitslage und Risiko

Wie GitHub-Repositorien als Waffe eingesetzt werden Der Angriff beginnt mit einer Phishing-E-Mail, die zu einer GitHub- oder GitLab-Repositori führt, die ein echtes Coding-Projekt nachahmt.

Die E-mails sehen aus wie Stellenangebote oder Code-Review-Anfragen von Unternehmen wie Pulsynk, Trixauvex oder Ondo Finance – alle entweder gefälschte Identitäten oder vollständig erfundene Entitäten.

Wenn ein Entwickler die Repositories klonen und in Visual Studio Code oder Cursor öffnet, wird eine versteckte Datei namens tasks.json innerhalb eines verdeckten.vscode-Ordners automatisch bösartige Skripte ausführen.

Technik und Auswirkungen

Auf macOS und Linux installiert das Skript eine bösartige VS-Code-Erweiterung (VSIX), die als Google-Dienst getarnt ist, und startet anschließend den Overlord-Backdoor. Auf Windows läuft die Payload vollständig innerhalb des eigenen Prozesses des Editors ab, ohne dass eine Binärdatei auf die Festplatte geschrieben wird, was die Erkennung erschwert.

Die Nutzung der Task-Automatisierung in VS-Code ist ein geschickter Taktik, da das Verhalten innerhalb einer Entwicklerumgebung völlig normal erscheint. Cursor führt insbesondere die versteckte Aufgabe ohne jegliche Benutzereingaben aus, wodurch der Angriff auf dieser Plattform vollständig stumm bleibt.

Diebstahl von Zugangsdaten über alle Plattformen Sobald der Schadcode einen Fußfassen erlangt, weicht er zum Diebstahl aller wertvollen Daten aus. Auf macOS wird eine sekundäre, eingebettete Binärdatei namens darwin-password-prompt verwendet, die einen gefälschten Systemdialog anzeigt und den Benutzer nach seinem Gerätepasswort fragt.

Technischer Hintergrund

Nach der Erfassung und Validierung des Passworts ändert der Schadcode den Zugriff auf den Browser-Keychain und entnimmt Zugangsdaten aus Chrome, Brave, Edge, Opera sowie mehreren weiteren Browsern.

Auf Linux nutzt der Schadcode ein natives Systemdialog-Tool namens Zenity, um einen ähnlichen gefälschten Prompt zu erstellen, und richtet sich mit Python-Skripten gegen GNOME-Keyring-Zugangsdaten.

Auf Windows wählt der Schadcode einen technisch anspruchsvolleren Weg, der das Umgehen der App-bound-Verschlüsselung in Chromium-basierten Browsern umfasst und Zugangsdaten mittels DPAPI extrahiert. Die Windows-Variante zielt auf 35 Kryptowährungs-Wallet-Erweiterungen, 18 eigenständige Wallet-Anwendungen sowie Browser-Cookies ab.

Technischer Hintergrund

Alle gesammelten Daten, einschließlich Wallet-Inhalte, Safe Storage-Schlüssel, Login-Daten und Browser-Cookies, werden in eine ZIP-Datei verpackt und auf den vom Angreifer kontrollierten Server unter 23.137.105[.]75:5173 hochgeladen.

Entwickler, die hochwertige Kryptowährungs-Konten verwalten oder im Bereich DeFi und Blockchain tätig sind, stehen dem höchsten Risiko gegenüber. Sicherheitsteams werden empfohlen, Entwickler-Repositories auf versteckte.vscode-Ordner und unerwartete tasks.json-Dateien zu überprüfen, bevor diese in einer IDE geöffnet werden.

Organisationen sollten zudem die automatischen Task-Ausführungseinstellungen von VS Code einschränken und ausgehende Verbindungen auf ungewöhnlichen Traffic zu unbekannten WebSocket-Endpunkten überwachen. Indikatoren für Kompromittierung (IoCs): IP-Adresse: Indikator: 23.137.105[.]75; Beschreibung: C&C-Server-IP (Port 5173).

IP-Adresse: Indikator: 170.205.29[.]83; Beschreibung: Absender-IP (April

IP-Adresse: Indikator: 170.205.29[.]83; Beschreibung: Absender-IP (April 2026). IP-Adresse: Indikator: 170.205.30[.]227; Beschreibung: Absender-IP (April 2026). Bereich: Indikator: ondofinance[.]tech; Beschreibung: Absenderdomäne (April 2026). Bereich: Indikator: empowerpharmacy[.]space; Beschreibung: Absenderdomäne (April 2026).

Bereich: Indikator: nxlog[.]tech; Beschreibung: Absenderdomäne (April 2026). Bereich: Indikator: pulsynk[.]org; Beschreibung: Absenderdomäne (Mai 2026). Bereich: Indikator: trixauvex[.]org; Beschreibung: Absenderdomäne (Mai 2026). Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z.

B. [.] ), um eine unbeabsichtigte Auflösung oder Hyperlinkierung zu verhindern. Fügen Sie die Defangs nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihres SIEM wieder ein. Tushar ist ein Senior-Berichter über Cybersicherheit und Datenpannen.

Sicherheitslage und Risiko

Er spezialisiert sich auf die Berichterstattung über Nachrichten und Trends im Bereich Cybersicherheit sowie auf neu auftretende Bedrohungen, Datenpannen und Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen ein.

Sicherheitslücke in Fortinet FortiSandbox ermöglicht Angreifern die Ausführung unbefugter Befehle Ausnutzung einer 0-Day-Schwachstelle in Google Chrome im wilden Einsatz – jetzt aktualisieren SPF, DKIM und DMARC wurden bestanden. Der bösartige Link bestreitet alle Authentifizierungsprüfungen, wurde jedoch von CyberCheck360 erkannt.