Jade Sleet атаковала индийского ИТ-подрядчика через MacBook DevOps-инженера
Группа Jade Sleet, связанная с КНДР, скомпрометировала индийского поставщика ИТ-услуг через MacBook на Apple Silicon, которым пользовался DevOps-инженер. SentinelOne обнаружила на устройстве macOS-бэкдоры FLATROOF и ROOFDECK: они присутствовали как минимум с 18 марта 2026 года, а активность началась 29 марта.
Jade Sleet также известна под именами PUKCHONG, Slow Pisces, TraderTraitor и UNC4899. Группа ранее нацеливалась на организации из криптовалютного и блокчейн-сектора, а также на подрядчиков таких компаний. SentinelOne связывает эту активность с теми же семействами вредоносного ПО, которые использовались при атаке на мост LayerZero проекта KelpDAO в марте и апреле 2026 года.
Ловушка в заданиях для кандидатов
Атакующие применяли социальную инженерию под видом собеседований. Они создавали GitHub-репозитории, оформленные как проекты по инженерии инфраструктуры от лица компании, которую имитировали. Среди обнаруженных названий — Northwind-IAC, novacart-interview и terraform-candidate-repo.
В репозитории размещался модифицированный файл .terraform.lock.hcl. Он указывал на вредоносные домены, включая registry.hashicorp-aws[.]com. Когда разработчик запускал terraform init, Terraform скачивал модули, контролируемые злоумышленниками.
В случае индийского подрядчика точный способ первоначального заражения пока не установлен. Исследователи зафиксировали, что импланты впервые были запущены Cursor через несколько секунд после открытия рабочего пространства cloudshield в каталоге DevOps-Automation.
Что умеют FLATROOF и ROOFDECK
FLATROOF написан на Rust и использует Telegram для управления. Бэкдор способен выполнять команды, загружать и выгружать файлы. Через Python-модуль он собирает данные браузеров Chrome, Brave, Firefox и Safari, историю команд Terminal, список приложений, параметры системы, сведения о запущенных процессах и копию login.keychain-db.
ROOFDECK также ориентирован на ARM-системы macOS, но для управления применяет децентрализованный протокол Nostr. Его функции включают разведку системы, операции с файлами, удалённую оболочку, боковое перемещение и закрепление через Launch Agents. Команды подписываются закрытым ключом операторов и проверяются встроенным публичным ключом перед выполнением.
SentinelOne считает ROOFDECK инструментом следующей стадии: его разворачивают после получения первоначального доступа и контроля над устройством. 20 апреля на MacBook DevOps-инженера появилась обновлённая версия, удалявшая старые бинарные файлы FLATROOF и ROOFDECK, а также символы и отладочную информацию для усложнения обнаружения.
Почему разработческие устройства стали критичной целью
Рабочая станция разработчика может иметь доступ к облачной инфраструктуре, CI/CD-конвейерам и исходному коду. В описанной кампании вредоносные окружения и Terraform-сборки подготавливались под конкретного инженера, поэтому проверка только общих индикаторов компрометации может оказаться недостаточной.
Для бизнеса практический вывод состоит в контроле репозиториев и зависимостей, запускаемых в процессе найма, а также в приоритетной защите устройств DevOps-команд. Следует отдельно отслеживать запуск Terraform, необычные сетевые обращения и создание Launch Agents на корпоративных Mac, поскольку именно такие действия сопровождали выявленную атаку.