هکرهای کره شمالی از وظایف اجرای خودکار VS Code برای استقرار بدافزار StoatWaffle سوءاستفاده می‌کنند

عوامل تهدید کره شمالی که پشت کمپین «Contagious Interview» (مصاحبه مسری) قرار دارند و با نام WaterPlum نیز ردیابی می‌شوند، به یک خانواده بدافزاری جدید به نام StoatWaffle منتسب شده‌اند که از طریق پروژه‌های مخرب Microsoft Visual Studio Code توزیع می‌شود. این بدافزار ماژولار که با Node.js پیاده‌سازی شده، از فایل «tasks.json» در VS Code برای اجرای خودکار هنگام باز شدن پوشه پروژه بهره می‌برد و دو ماژول اصلی دارد: یک سارق اطلاعات (Stealer) که داده‌های مرورگرها و در سیستم‌های macOS پایگاه داده iCloud Keychain را به سرقت می‌برد، و یک تروجان دسترسی از راه دور (RAT) که دستورات را از سرور فرمان و کنترل (C2) دریافت و اجرا می‌کند. مایکروسافت در به‌روزرسانی ژانویه ۲۰۲۶ (نسخه ۱.۱۰۹) با معرفی تنظیم «task.allowAutomaticTasks» که به‌صورت پیش‌فرض غیرفعال است، اقدام به کاهش این تهدید کرده است.

در ابعاد گسترده‌تر این کمپین، عوامل کره شمالی با جعل فرآیندهای استخدامی معتبر، به‌ویژه از طریق لینکدین، مؤسسان شرکت‌ها، مدیران ارشد فناوری (CTO) و مهندسان ارشد حوزه رمزارز و Web3 را هدف قرار می‌دهند. همچنین وزارت دادگستری آمریکا از صدور حکم محکومیت برای سه نفر به اتهام مشارکت در طرح کارگران فناوری اطلاعات تقلبی کره شمالی خبر داد؛ از جمله الکساندر پل تراویس که به یک سال زندان و مصادره ۱۹۳٬۲۶۵ دلار محکوم شد. گزارش مشترک Flare و IBM X-Force نیز نشان می‌دهد این کارگران فناوری اطلاعات که از دانشگاه‌های معتبر کره شمالی فارغ‌التحصیل شده‌اند، «اعضای نخبه جامعه کره شمالی» محسوب می‌شوند و اهدافی چون کسب درآمد، سرقت اطلاعات شرکتی و اخاذی را دنبال می‌کنند.