Nordkoreanische Hacker machen aus Terraform-Aufgaben für Bewerber einen Weg in Entwicklernetzwerke

Jade Sleet drang in einen kleineren indischen Technologiedienstleister ein

SentinelOne schreibt die Kompromittierung eines IT-Dienstleisters mit Sitz in Indien Jade Sleet zu, einer nordkoreanischen Bedrohungsgruppe, die für Angriffe auf Unternehmen und Zulieferer im Kryptobereich bekannt ist. Im Mittelpunkt des Eindringens stand ein Apple Silicon MacBook, das einem DevOps-Ingenieur zugewiesen war.

Das Opfer war deutlich kleiner als die Organisationen, die bislang mit diesem Akteur in Verbindung gebracht wurden. Dieser Unterschied ist relevant, denn er zeigt, dass Jade Sleet seine Aktivitäten nicht auf bekannte Blockchain-Plattformen beschränkt. Kleinere Dienstleister können indirekten Zugang zu Kunden, Entwicklungsinfrastrukturen und privilegierten technischen Beziehungen bieten.

Jade Sleet wird auch als PUKCHONG, Slow Pisces, TraderTraitor und UNC4899 bezeichnet. Die Aktivitäten der Gruppe konzentrierten sich in der Vergangenheit auf den Diebstahl von Kryptowährungen. Entwickler und Drittanbieter sind jedoch wiederkehrende Ziele, weil ihre Systeme Zugangsdaten oder Zugriffsrechte auf wertvollere Umgebungen enthalten können.

Die Angreifer setzten zwei auf Rust basierende macOS-Backdoors ein: FLATROOF und ROOFDECK. FLATROOF ist auch unter der Bezeichnung Gaslight bekannt. Beide Implantate waren zuvor bei der Kompromittierung der LayerZero-Bridge von KelpDAO im März und April 2026 aufgetaucht. SentinelOne stieß bei der Suche nach derselben Malware auf das indische Opfer.

Für diesen Vorfall gibt es weder eine CVE-Kennung noch eine formale Bewertung des Schweregrads. Es handelt sich um eine auf Social Engineering und schädlichen Inhalten für Entwickler basierende Eindringkampagne, nicht um eine offengelegte Schwachstelle in Terraform, Cursor oder macOS.

Gefälschte Recruiting-Projekte verbergen die erste Falle

Die Kampagne spricht Entwickler und Jobsuchende mit scheinbar legitimen technischen Aufgaben im Rahmen von Bewerbungsverfahren an. GitHub-Repositories werden so gestaltet, dass sie wie Programmieraufgaben oder Projekte aus dem Bereich Infrastruktur-Engineering wirken, die mit dem imitierten Arbeitgeber verbunden sind.

Beobachtete Repository-Namen sind unter anderem:

• gtn-candidate-repo
• Northwind-IAC
• novacart-interview
• terraform-candidate-repo

Die Themen werden auf die berufliche Rolle des Ziels zugeschnitten. Ein DevOps- oder Infrastrukturkandidat kann daher Terraform-Konfigurationen, Cloud-Automatisierung oder Deployment-Aufgaben vorfinden, die für eine technische Bewerbungsaufgabe völlig normal erscheinen.

Das schädliche Element ist eine Terraform-Abhängigkeitssperrdatei mit dem Namen .terraform.lock.hcl. Sie verweist auf eine von den Angreifern kontrollierte Infrastruktur, darunter registry.hashicorp-aws[.]com. Führt das Ziel terraform init aus, kann Terraform von den Angreifern kontrollierte Module abrufen.

Diese Technik nutzt das Vertrauen in die Aufgabe aus und nicht eine bestätigte Schwachstelle in Terraform. Der Entwickler öffnet das Projekt freiwillig und führt einen standardmäßigen Initialisierungsschritt aus. Die Abhängigkeitskonfiguration des Repositorys lenkt dabei einen Teil dieses Vorgangs auf eine schädliche Infrastruktur um.

SentinelOne stellte fest, dass die Pakete auf einzelne Opfer zugeschnitten und für Entwicklungsumgebungen vorbereitet waren, die jeweils nur von einem Ingenieur genutzt wurden. Eine solche Individualisierung verringert den Nutzen breit angelegter Erkennungsmechanismen, die sich ausschließlich auf gängige Dateihashes oder identische Repository-Inhalte stützen.

Die Ermittler konnten bislang nicht genau feststellen, wie die Malware auf das MacBook des DevOps-Ingenieurs gelangte. Der schädliche Terraform-Mechanismus ist Teil der umfassenderen Kampagne, doch die vorliegenden Beweise belegen nicht die genaue Übermittlungsabfolge bei diesem Opfer.

Inaktive Implantate werden über einen Entwicklerarbeitsbereich aktiviert

FLATROOF und ROOFDECK befanden sich am 18. März 2026 auf dem System des Ingenieurs. Sie blieben zunächst inaktiv, bis sie am 29. März mit der Kommunikation und Interaktion mit dem Host begannen.

Die ersten aufgezeichneten Starts erfolgten über Cursor innerhalb weniger Sekunden, nachdem der Entwickler einen Arbeitsbereich mit dem Namen cloudshield unter folgendem Pfad geöffnet hatte:

~/DevOps-Automation/cloudshield

Dieser zeitliche Zusammenhang bringt die Ausführung mit dem normalen Arbeitsablauf des Entwicklers in Verbindung. Er beweist jedoch nicht, welche Komponente des Arbeitsbereichs, welche Abhängigkeit oder welche automatisierte Aktion die Implantate gestartet hat.

Am 20. April 2026 wurde eine neuere ROOFDECK-Version installiert – einen Tag, nachdem LayerZero den Vorfall bei KelpDAO öffentlich bestätigt hatte. Das aktualisierte Implantat entfernte die vorhandenen ROOFDECK- und FLATROOF-Binärdateien vom MacBook.

Außerdem wurde es ohne Symbole und Debugging-Informationen ausgeliefert. Durch das Entfernen dieser Elemente erhalten Ermittler weniger forensischen Kontext, und das Reverse Engineering wird erschwert. Dies deutet darauf hin, dass die Betreiber ihre Werkzeuge nach dem Bekanntwerden des früheren Einsatzes aktiv weiterentwickelten.

Die Abfolge stützt zudem die Einschätzung, dass ROOFDECK ein nachgelagertes Implantat ist. Es dient offenbar nicht unbedingt dem erstmaligen Zugriff, sondern wird eingesetzt, nachdem ein Angreifer Fuß gefasst hat und eine dauerhaftere Kontrolle anstrebt.

FLATROOF stiehlt Daten, während ROOFDECK die Kontrolle ausbaut

FLATROOF ist eine Rust-basierte Backdoor für ARM-basierte macOS-Systeme. Sie kommuniziert über Telegram und unterstützt die Ausführung entfernter Befehle sowie das Hoch- und Herunterladen von Dateien.

Eine Python-Komponente ermöglicht eine umfassendere Datensammlung auf dem Host. Die Malware kann Daten aus Chrome, Brave, Firefox und Safari abrufen, Terminal-Befehlshistorien stehlen, installierte Anwendungen auflisten, Hardware- und Softwareinformationen erfassen sowie eine Momentaufnahme der laufenden Prozesse erstellen.

Außerdem kann sie login.keychain-db kopieren. Auf einem Entwicklerarbeitsplatz könnten diese Funktionen Authentifizierungsmaterial, Browser-Sitzungen, Cloud-Zugriffe, interne Dienstdetails und zuvor für Administrationsaufgaben verwendete Befehle offenlegen.

Auch ROOFDECK ist in Rust geschrieben und zielt auf ARM-basierte Macs ab. Es nutzt jedoch das Nostr-Protokoll für eine dezentrale Command-and-Control-Infrastruktur. Das Implantat bietet Funktionen zur Aufklärung, zum Fernzugriff per Shell, zur Dateiverwaltung, zur lateralen Bewegung und zur Persistenz über macOS Launch Agents.

An ROOFDECK gesendete Befehle werden mit dem privaten Schlüssel des Betreibers signiert. Das Implantat enthält einen öffentlichen Schlüssel, mit dem es vor der Ausführung die Integrität der Befehle überprüft. Dadurch wird eingeschränkt, dass Unbefugte über denselben Kommunikationskanal Anweisungen erteilen können.

Seine Funktionen sind auf separate Befehls-Handler verteilt. ROOFDECK implementiert zudem zahlreiche Verzeichnis- und Dateivorgänge intern, statt sich vollständig auf standardmäßig auf dem Mac installierte Shell-Werkzeuge zu verlassen. SentinelOne verglich diesen Designansatz mit der LightlessCan-Toolchain von Lazarus.

Zusammen bieten die Implantate sich ergänzende Funktionen: FLATROOF konzentriert sich auf Datensammlung und Datendiebstahl, während ROOFDECK eine dauerhafte Umgebung für Shell-Zugriff, Persistenz und die Bewegung über den ursprünglichen Endpunkt hinaus bereitstellt.

Ein Entwickler-Mac kann weit mehr als nur einen Arbeitsplatz offenlegen

Das unmittelbare Opfer ist der Ingenieur, dessen Apple Silicon MacBook kompromittiert wurde. Das weitergehende Risiko erstreckt sich auf jede Umgebung, die diesem Gerät vertraut hat.

DevOps-Endpunkte interagieren häufig mit Quellcodeverwaltungssystemen, Cloud-Management-Konsolen, CI/CD-Plattformen, Paket-Registries und Infrastructure-as-Code-Repositories. Sie können außerdem Deployment-Token, SSH-Schlüsselmaterial, Browser-Sitzungen und Konfigurationsdateien enthalten, die gewöhnlichen Unternehmensanwendern nicht zur Verfügung stehen.

Die Kompromittierung eines IT-Dienstleisters bringt ein zusätzliches Lieferkettenrisiko mit sich. Der über einen Anbieter erlangte Zugriff könnte möglicherweise gegen nachgelagerte Kunden eingesetzt werden. In diesem Fall wurden jedoch keine konkreten Kompromittierungen von Kunden offengelegt.

Die Vorgeschichte von Jade Sleet hilft bei der Erklärung der Zielauswahl. GitHub erklärte im Juli 2023, dass der Akteur Kryptowährungs- und Blockchain-Nutzer sowie Zulieferer dieser Organisationen ins Visier nahm. Anfang 2025 wurde die Gruppe mit dem Diebstahl von rund 1,5 Milliarden US-Dollar aus der Cold-Wallet-Infrastruktur von Bybit in Verbindung gebracht, nachdem die Entwicklerumgebung von Safe{Wallet} kompromittiert worden war.

Der neu zugeschriebene Eindringvorfall bei dem indischen IT-Dienstleister folgt derselben strategischen Logik: Wertvolle Ressourcen werden erreicht, indem zunächst Personen und Systeme kompromittiert werden, die an ihrer Entwicklung, ihrem Betrieb oder ihrer Unterstützung beteiligt sind.

Was Entwicklungs- und Sicherheitsteams prüfen sollten

Organisationen sollten zunächst .terraform.lock.hcl-Dateien und Terraform-Module auf unerwartete Abhängigkeiten, veränderte Prüfsummen und Verweise auf nicht vertrauenswürdige Registries überprüfen. Jedes Auftreten von registry.hashicorp-aws[.]com sollte untersucht werden.

Sicherheitsteams sollten Ausführungen von terraform init mit ausgehenden Verbindungen von Entwicklerarbeitsplätzen korrelieren. Über unverlangte Bewerbungsgespräche oder Recruiting-Konversationen bereitgestellte Repositories sollten in einer isolierten Umgebung untersucht werden, bevor Build-, Initialisierungs- oder Abhängigkeitsinstallationsbefehle ausgeführt werden.

Auf Apple-Silicon-Systemen sollten Verteidiger nach Folgendem suchen:

• Artefakte von FLATROOF oder Gaslight und ROOFDECK
• Unerwartete Command-and-Control-Aktivitäten über Telegram
• Nostr-Datenverkehr, der nicht zur normalen geschäftlichen Nutzung passt
• Nicht erkannte macOS Launch Agents
• Verdächtige von Cursor gestartete Prozesse
• Zugriffe auf Browserprofile, Terminal-Historien oder login.keychain-db
• Die Erfassung von Anwendungsinventaren und Prozessmomentaufnahmen
• Backdoor-Binärdateien, die unerwartet entfernt oder ersetzt wurden
• Unbekannte ausführbare Dateien ohne Symbole und Debugging-Daten

Wenn ein Entwicklerendpunkt möglicherweise kompromittiert wurde, sollten Organisationen die über dieses System verfügbaren Zugangsdaten und Token rotieren. Die Reaktion sollte Cloud-Konten, Quellcodeverwaltung, CI/CD-Dienste, Paket-Registries und Systeme mit Bezug zu Kryptowährungen abdecken und sich nicht nur auf das lokale macOS-Passwort beschränken.

Entwicklungsnetzwerke sollten außerdem von der Produktion segmentiert werden. Der laterale Zugriff sollte auf das beschränkt sein, was die jeweilige Rolle tatsächlich benötigt. Vertrauenswürdige Registries, unabhängige Integritätsprüfungen, reproduzierbare Builds und die verpflichtende Prüfung von Änderungen an Abhängigkeiten können die Gefährdung durch schädliche technische Aufgaben verringern.

Die zentrale Sicherheitsannahme muss sich ändern: Eine Programmieraufgabe ist ausführbarer Inhalt von Dritten. Sie sollte genauso sorgfältig geprüft werden wie jede andere nicht vertrauenswürdige Software.