SentinelOne связала Jade Sleet со взломом индийского ИТ-подрядчика

Исследователи SentinelOne обнаружили следы компрометации индийского поставщика ИТ-услуг, которую они связывают с северокорейской группировкой Jade Sleet. Целью стал MacBook на Apple Silicon, принадлежавший DevOps-инженеру; на устройстве нашли macOS-бэкдоры FLATROOF и ROOFDECK.

По данным компании, вредоносные программы присутствовали на компьютере не позднее 18 марта 2026 года, но начали обмениваться данными с управляющей инфраструктурой и проявлять активность только 29 марта. Первые запуски имплантов произошли через несколько секунд после открытия рабочей области cloudshield в редакторе Cursor. Как именно злоумышленники получили первоначальный доступ к устройству, SentinelOne установить не удалось.

20 апреля на компьютере инженера появилась обновлённая версия ROOFDECK — на следующий день после того, как LayerZero публично признала взлом KelpDAO. По оценке исследователей, новая сборка удаляла прежние бинарные файлы ROOFDECK и FLATROOF, а также была лишена отладочной информации и символов, что осложняет её анализ и обнаружение.

Оба инструмента уже фигурировали в атаке на мост LayerZero проекта KelpDAO в марте—апреле 2026 года. FLATROOF, также известный как Gaslight, написан на Rust, использует Telegram для связи с операторами и умеет выполнять команды, передавать файлы и собирать данные. В частности, его модуль на Python может извлекать сведения из браузеров Chrome, Brave, Firefox и Safari, историю команд терминала, перечень установленных приложений, сведения о системе и файл login.keychain-db.

ROOFDECK также написан на Rust, но для управляющих команд использует децентрализованный протокол Nostr. Бэкдор способен собирать информацию о системе, работать с файлами, предоставлять удалённый доступ к командной оболочке, перемещаться по сети и закрепляться в macOS через Launch Agents. Команды ROOFDECK подписываются закрытым ключом операторов, а перед выполнением проверяются встроенным публичным ключом.

SentinelOne указывает, что Jade Sleet применяет приманки под видом тестовых заданий на собеседованиях и нацеливается на специалистов из DevOps, криптовалютной и финтех-сфер. Злоумышленники создают GitHub-репозитории, стилизованные под инфраструктурные проекты компаний, от имени которых они выдают себя.

В таких репозиториях исследователи находили модифицированный файл зависимостей Terraform .terraform.lock.hcl. Он направляет команду terraform init на вредоносные домены и заставляет среду загрузить подготовленные атакующими модули. SentinelOne считает, что подобные атаки особенно опасны для разработчиков: их рабочие устройства часто имеют доступ к облачной инфраструктуре, конвейерам разработки и исходному коду.