Северокорейская группа Jade Sleet атаковала индийского ИТ-провайдера через бэкдоры FLATROOF и ROOFDECK

Исследователи в области кибербезопасности из компании SentinelOne раскрыли подробности атаки, которую связывают с северокорейской группировкой Jade Sleet. Целью злоумышленников стала индийская организация, работающая в сфере ИТ-услуг. Несмотря на то что компания описывается как «значительно меньшая по размеру», сам факт атаки подтверждает: северокорейские хакеры продолжают целенаправленно выбирать разработчиков в качестве точки входа для компрометации целевых сетей.

Подробности

По данным SentinelOne, в ходе атаки использовались два вредоносных инструмента — FLATROOF и ROOFDECK, применяемые для скрытого проникновения и закрепления в инфраструктуре жертвы. Злоумышленники также задействовали технологии и инструменты экосистемы Apple, что характерно для почерка Jade Sleet и позволяет связывать эту активность с более ранними кампаниями группировки. Jade Sleet известна своей нацеленностью на сотрудников ИТ- и технологических компаний, в особенности на разработчиков. Такой подход даёт атакующим доступ к исходному коду, системам сборки и цепочкам поставок, что многократно повышает потенциальный ущерб и позволяет распространять атаки дальше — на клиентов и партнёров скомпрометированной организации. Инцидент вновь поднимает вопрос о рисках, связанных с цепочками поставок в ИТ-секторе: даже небольшие подрядчики, оказывающие услуги разработки, могут стать плацдармом для атак на более крупные и защищённые организации. На момент публикации отчёта конкретные CVE, связанные с этой кампанией, не упоминались — атака, судя по всему, строилась на социальной инженерии и эксплуатации доверенных инструментов разработки, а не на известных уязвимостях.

Что делать

Специалисты SentinelOne и эксперты по информационной безопасности рекомендуют организациям, особенно работающим в сфере ИТ-услуг и разработки ПО, принять следующие меры:

• Усилить контроль доступа к системам сборки, репозиториям и CI/CD-пайплайнам, внедрив обязательную MFA и принцип минимальных привилегий.
• Провести аудит учётных записей разработчиков и подрядчиков, особенно тех, кто имеет доступ к критичным системам или работает удалённо.
• Организовать мониторинг подозрительной активности, связанной с инструментами экосистемы Apple, а также с известными индикаторами компрометации (IoC), публикуемыми в отчётах о Jade Sleet.
• Обучить сотрудников распознаванию методов социальной инженерии — фишинга, фальшивых предложений о работе и поддельных обновлений ПО, которые группировка активно использует.
• Ограничить использование неавторизованного ПО и контролировать установку сторонних утилит на рабочих станциях разработчиков.

Итог: инцидент с индийским ИТ-провайдером подтверждает, что Jade Sleet продолжает отработанную тактику — атаковать разработчиков ради доступа к более крупным целям. Компаниям из сферы ИТ-услуг стоит рассматривать себя как потенциальную точку входа для атак на своих клиентов и выстраивать защиту accordingly.

Источник: The Hacker News