توسعه‌دهندگان ارزهای دیجیتال هدف بدافزار پایتون مبدل شده به چالش‌های کدنویسی

گروه تهدید Slow Pisces که با کره شمالی مرتبط است و مسئول حمله بزرگ به Bybit در فوریه 2025 بوده، کمپین مخربی را راه‌اندازی کرده که توسعه‌دهندگان را هدف قرار می‌دهد تا بدافزار جدید سارق اطلاعات را تحت عنوان تکلیف کدنویسی ارسال کند. این گروه که با نام‌های Jade Sleet، PUKCHONG، TraderTraitor و UNC4899 نیز شناخته می‌شود، از طریق LinkedIn با توسعه‌دهندگان ارزهای دیجیتال تماس گرفته و خود را به عنوان کارفرمای بالقوه معرفی می‌کند و بدافزارهایی به نام‌های RN Loader و RN Stealer را تحت پوشش چالش‌های کدنویسی ارسال می‌کند.

روش عملیاتی این گروه شامل ارسال فایل PDF حاوی توضیحات شغلی جعلی و سپس ارائه پروژه‌های Python یا JavaScript آلوده از GitHub است که در صورت اجرا، اطلاعات حساس سیستم شامل متادیتای سیستم، برنامه‌های نصب شده، کلیدهای SSH، و فایل‌های پیکربندی AWS، Kubernetes و Google Cloud را سرقت می‌کند. این کمپین با استفاده از تکنیک‌های پیشرفته مانند YAML deserialization و EJS templating برای مخفی کردن اجرای کد مخرب و تحویل محموله‌ها تنها به قربانیان تأیید شده بر اساس آدرس IP، موقعیت جغرافیایی و سایر شرایط خاص، امنیت عملیاتی بالایی را حفظ می‌کند.