文章总结： 朝鲜关联组织WaterPlum针对区块链开发者发起VSCode供应链攻击，投放新型恶意软件StoatWaffle。攻击通过伪装合法代码库并滥用VSCode任务配置实现无感触发，具备模块化架构，包含窃取浏览器凭据、扩展数据及macOS钥匙串的窃密模块，以及支持WSL环境感知的RAT远控模块。该事件揭示了针对开发者生态系统的供应链攻击风险日益严峻，建议开发者加强代码库审核与环境隔离。 综合评分： 85 文章分类： 恶意软件,供应链安全,威胁情报

WaterPlum 在 VSCode 供应链攻击中释放“StoatWaffle”恶意软件

原创

网络安全9527 网络安全9527

安全圈的那点事儿

2026年3月19日 19:12 北京

一个名为 WaterPlum 的与朝鲜有关联的威胁组织推出了一种名为“StoatWaffle”的新型恶意软件，作为其正在进行的“传染性访谈”活动的一部分。

该活动归因于 Team 8，它是 WaterPlum 内的一个子组，也被称为 Moralis 或 Modilus 集群。

该团队之前与 OtterCookie 恶意软件有关，但自 2025 年 12 月以来，研究人员观察到他们明显转向使用这套新开发的工具集。

攻击始于一个伪装成合法区块链相关项目的恶意代码库。攻击者在该代码库中嵌入了一个隐藏的 .vscode 目录，其中包含一个精心构造的 tasks.json 文件。

此文件滥用了“runOn”配置，将其值设置为“folderOpen”。因此，当受害者在 VSCode 中打开并信任该存储库时，一个预定义的任务会在无需进一步交互的情况下自动执行。

报告称，该活动继续以开发者为目标，特别是那些参与区块链项目的开发者，他们滥用诸如 Visual Studio Code (VSCode) 之类的可信开发环境。

该脚本执行环境检查并确保攻击链的持久性。它首先验证系统是否已安装 Node.js。如果未安装，则会从官方来源下载并安装 Node.js，以确保与不同操作系统兼容。

一旦 Node.js 安装完成，脚本会下载两个额外的文件：env.npl 和 package.json。然后，它会执行 env.npl，这标志着程序正式进入 StoatWaffle 恶意软件框架。

StoatWaffle 装载机机制

触发的任务会从 Vercel 托管的 Web 应用程序下载有效载荷数据。该有效载荷通过 cmd.exe 执行，充当一个简单的下载器，用于检索名为 vscode-bootstrap.cmd 的辅助脚本。

如果服务器响应错误状态，则返回的内容将被视为可执行的 Node.js 代码。

经过几分钟的轮询后，加载器接收到第二阶段的有效载荷。第二个下载器的行为类似，但它与不同的端点“/api/handleErrors”通信，并继续执行来自 C2 服务器的命令。

在分析过程中，研究人员观察到第二阶段会迅速部署窃取模块和远程访问木马（RAT），这表明恶意软件具有模块化和灵活的架构。

env.npl 文件是 StoatWaffle 的初始加载器。它每五秒钟轮询一次端点“/api/errorMessage”，从而与命令和控制 (C2) 服务器建立通信。

该窃取模块旨在从多个来源提取敏感数据。它的目标是存储在网络浏览器中的凭据，并从浏览器扩展程序中收集数据。

对于基于 Chromium 内核的浏览器，该恶意软件会收集扩展程序数据以及已保存的凭据。在 Firefox 环境中，它会解析 extensions.json 文件，根据特定关键字识别目标扩展程序，然后提取相关数据。

在 macOS 系统中，该恶意软件会将其攻击范围扩展到钥匙串数据库，从而进一步扩大了攻击的影响范围。

收集到的数据会使用随机文件名暂存在临时目录中，然后通过“/upload”端点上传到 C2 服务器。此外，系统分析数据（包括已安装的软件）会发送到辅助端点“/uploadsecond”。

该恶意软件的一个显著特点是能够识别 Windows 子系统 Linux 版 (WSL)。如果在 WSL 环境中运行，它会使用 wslpath 将 Windows 文件路径转换为 Linux 兼容路径，从而允许从 Linux 环境中访问 Windows 用户数据。

远程访问功能

RAT 模块可对受感染的系统进行持续控制。它不断与 C2 服务器通信，从“/api/hsocketNext”检索命令，并将执行结果发送回“/api/hsocketResult”。

这使得攻击者能够执行任意命令，保持长期访问权限，并扩大对受感染环境的控制。

StoatWaffle 的推出凸显了 WaterPlum 策略的演变，特别是其对开发者生态系统和VSCode 等值得信赖的工具的关注。

攻击者通过在看似合法的存储库中嵌入恶意配置，有效地绕过了传统的安全意识。

此次事件凸显了开发工作流程中供应链攻击风险的日益增加，尤其是在区块链等高价值领域，在这些领域，对共享代码库的信任至关重要。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全圈的那点事儿 网络安全9527 网络安全9527《WaterPlum 在 VSCode 供应链攻击中释放“StoatWaffle”恶意软件》