קבוצת Jade Sleet הצפון קוריאנית פרצה לספק IT הודי דרך מאגר קוד מזויף בגיטהאב

חברת SentinelOne חשפה כיצד קבוצת התקיפה הצפון קוריאנית Jade Sleet (המוכרת גם כ-TraderTraitor ו-UNC4899) פרצה לחברת שירותי IT הודית דרך מחשב Mac של מהנדס DevOps, באמצעות מאגר קוד מזויף בגיטהאב. הקבוצה, שמיוחסת לה גניבה של כ-1.5 מיליארד דולר ממטבעות קריפטוגרפיים לאורך השנים, ידועה בתקיפת ספקים וקבלני משנה כדרך עקיפה להגיע ללקוחות שלהם בענפי הפיננסים והבלוקצ'יין.

איור קונספטואלי של שרת עם חדירה דרך חבילת קוד מוסווית

הפרטים

לפי SentinelOne, הקבוצה פנתה למפתח באמצעות הזמנה מזויפת לראיון עבודה שכללה פרויקט קוד ב-Terraform. קובץ .terraform.lock.hcl בפרויקט הפנה למרשמי ספקים (provider registries) בדומיינים מזויפים המחקים את HashiCorp, כך שהרצת הפקודה terraform init הורידה והריצה קוד זדוני. כך הותקנו על המכשיר שתי דלתות אחוריות מבוססות Rust המיועדות למחשבי Mac מבוססי Apple Silicon: FLATROOF, שמתקשרת עם שרת הפיקוד דרך Telegram וגונבת נתוני התחברות מדפדפנים וקבצי keychain; ו-ROOFDECK, שמשתמשת בפרוטוקול Nostr המבוזר לפיקוד ושליטה ומשמשת לתנועה רוחבית ולביסוס עמידות דרך Launch Agents.

לפי ציר הזמן שפרסמה החברה, הפעילות הזדונית זוהתה לראשונה במחשב הקורבן כבר ב-18 במרץ 2026, עם עדכון לגרסת ROOFDECK בסוף אפריל, אך הפרטים פורסמו רק כעת. שתי הדלתות האחוריות דומות לאלו שזוהו קודם לכן בתקיפת גשר LayerZero של KelpDAO.

נקודות לשים לב

מפתחים ואנשי DevOps: התייחסו בחשדנות להזמנות לראיונות עבודה או שיתופי פעולה שמגיעות עם דרישה להריץ קוד ממאגר לא מוכר — אמתו את זהות הפונה בערוץ נפרד לפני הרצת terraform init, npm install או פקודות דומות.
בדקו את מקור ה-provider registry בקובצי .terraform.lock.hcl לפני הרצה — דומיינים שמחקים ספקים מוכרים כמו HashiCorp הם הווקטור המרכזי כאן.
במחשבי macOS ארגוניים, חפשו Launch Agents לא מוכרים ותהליכים שמתקשרים באופן חריג מול ה-API של Telegram או מול פרוטוקול Nostr.
ארגונים בלי זיקה ישירה לקריפטו אינם פטורים — הקבוצה תוקפת ספקי IT וקבלני משנה כדי לחדור בעקיפין ללקוחות שלהם בענפי הפיננסים.
מדובר בקבוצה עם היסטוריה מתועדת של גניבות בהיקף מיליארדי דולר, ולא בפעילות חובבנית — התייחסו לכל חשד לפעילות דומה ברמת חומרה גבוהה.