朝鲜黑客窃取开发者凭证，向GitHub和软件包中注入恶意软件

原创

ZM
ZM

暗镜

2026年11月8日 06:00
北京

去阅读

一个与朝鲜结盟的黑客组织已经不再只是进行虚假的求职面试，而是窃取开发人员的凭证，在受信任的软件项目中植入恶意软件。

该组织名为 DeceptiveDevelopment，利用窃取的访问权限，在 2026 年 4 月至 9 月期间更改了公共和私有代码库中的代码。每个被篡改的项目都成为了入侵用户系统的新途径。该组织多年来一直以利用虚假招聘人员和编程测试欺骗开发者而臭名昭著。在早期的活动中，他们的主要目标是窃取加密货币钱包和浏览器登录信息。

新的攻击活动规模更大，因为一个受感染的开发者现在可能会使数十甚至数百名其他用户面临风险。

研究人员表示，这一变化表明朝鲜犯罪集团对开发者电脑的重视程度。一台笔记本电脑通常存储着 Git 登录信息、云密钥和软件包发布权限。这对犯罪分子来说，远比一个被盗密码更有价值。ESET 的分析师在其 APT 活动报告中注意到了这种变化，该报告涵盖 2026 年 4 月至 9 月，并于 10 月 28 日在 WeLiveSecurity 上发布。报告指出，该组织从虚假的求职面试诱饵转向更广泛的软件供应链入侵。ESET 研究人员发现，攻击仍然始于诱饵，例如要求开发人员运行项目的虚假招聘任务。同样的伎俩也出现在针对自由职业程序员的虚假求职面试挑战中。一旦开发者运行该文件，恶意软件就会在计算机中搜索 Git 凭据、SSH 密钥和访问令牌。攻击者利用这些漏洞以开发者的身份登录，并在受害者的代码仓库中添加恶意代码。他们通常会在事后重写提交历史记录，这有助于隐藏他们的更改，使其不被查看项目日志的团队成员发现。

随后，这些被植入恶意文件在开发者最信任的平台上传播开来。ESET 在 npm、Go 模块镜像、Packagist、PyPI 和浏览器扩展市场等平台上发现了受影响的项目。大多数受影响的项目都是由单个开发者维护的小型工具。

该组织还致力于提高服务器的关闭难度。ESET 研究了使用名为 NullReceiver 的方法的 npm 包。

加载器会检查一个硬编码的以太坊地址中的最新交易。然后，它会从一个原本为空的转账的接收地址中读取命令服务器的 IP 地址。今年早些时候报道的一个NullReceiver npm 项目也使用了相同的思路。

这给了攻击者巨大的优势。他们只需一次新的交易就能切换到新的服务器，而无需更新任何软件包。

区块链记录也无法删除。ESET 还在一个由真实开发者拥有的、通过隐藏的 VS Code 任务启动的恶意代码库中发现了这种方法。

据 ESET 追踪，这是首例将基于区块链的服务器查找功能直接集成到 GitHub 托管项目中的案例。黑客还将诱饵和有效载荷转移到了更难移除的服务上。

早期的虚假 Web3 编码挑战被放置在 Gitea（GitHub 的替代品，用户可以自行托管）上，因此没有中央团队可以举报它们。

后续的有效载荷存储在 JSONBin.io、JSONHosting 和 Pinata（IPFS 网络的网关）上。在 IPFS 中，文件是根据其内容查找的，因此关闭帐户并不总是会删除文件。

ESET得出结论，该组织利用这六个月的时间接触了更多受害者，并降低了查封服务器的难度。对区块链命令服务器的更广泛分析表明，其他组织也在效仿这种做法。