Północnokoreańscy hakerzy wykorzystują VS Code do rozprzestrzeniania StoatWaffle

Północnokoreańskie grupy hakerskie po raz kolejny udowadniają, że ich kreatywność w omijaniu zabezpieczeń nie zna granic, a najsłabszym ogniwem ekosystemu technologicznego pozostaje zaufanie programisty do własnych narzędzi. Najnowsza kampania, zidentyfikowana przez badaczy cyberbezpieczeństwa, bierze na cel użytkowników najpopularniejszego edytora kodu na świecie — Microsoft Visual Studio Code (VS Code). Atakujący wykorzystują pozornie niewinną funkcję automatyzacji zadań, aby zainfekować stacje robocze nowym rodzajem złośliwego oprogramowania o nazwie StoatWaffle.

Mechanizm ataku jest precyzyjnie wymierzony w konkretną grupę zawodową i opiera się na kampanii znanej jako Contagious Interview. Hakerzy, działający również pod kryptonimem WaterPlum, podszywają się pod rekruterów lub współpracowników, przesyłając ofiarom projekty programistyczne do sprawdzenia lub wykonania zadania testowego. To, co z pozoru wygląda na standardowe repozytorium kodu, kryje w sobie pułapkę zaszytą w plikach konfiguracyjnych środowiska programistycznego. Skala operacji sugeruje, że mamy do czynienia z dobrze zorganizowaną strukturą, która od grudnia 2025 roku skutecznie wdraża tę nową taktykę infekcji.

Pułapka ukryta w pliku tasks.json

Kluczem do sukcesu kampanii StoatWaffle jest wykorzystanie pliku tasks.json, który jest standardowym elementem konfiguracji w VS Code. W normalnych warunkach plik ten służy programistom do definiowania powtarzalnych zadań, takich jak kompilacja kodu, uruchamianie testów jednostkowych czy linterów. Problem pojawia się w momencie skorzystania z opcji runOn: folderOpen, która pozwala na automatyczne wykonanie zdefiniowanych poleceń natychmiast po otwarciu folderu z projektem w edytorze.

Gdy nieświadomy programista otwiera złośliwy projekt, VS Code — o ile użytkownik wcześniej zatwierdził zaufanie do autorów folderu (tzw. Workspace Trust) — wykonuje skrypty przygotowane przez hakerów. W przypadku kampanii WaterPlum, zadania te inicjują pobieranie i uruchamianie ładunku StoatWaffle bezpośrednio w systemie ofiary. Jest to metoda wyjątkowo groźna, ponieważ omija tradycyjne systemy wykrywania oparte na skanowaniu załączników e-mail, przenosząc ciężar ataku na etap interakcji z narzędziem pracy, któremu deweloper ufa bezgranicznie.

• Cel: Programiści i inżynierowie oprogramowania biorący udział w procesach rekrutacyjnych.
• Wektor ataku: Złośliwe projekty Visual Studio Code przesyłane jako zadania techniczne.
• Mechanizm: Automatyczne uruchamianie zadań (Auto-Run Tasks) poprzez plik tasks.json.
• Ładunek: Malware z rodziny StoatWaffle, umożliwiający zdalną kontrolę nad systemem.

StoatWaffle i ewolucja kampanii WaterPlum

Oprogramowanie StoatWaffle nie jest jedynie prostym skryptem, lecz zaawansowanym narzędziem typu backdoor, które pozwala grupie WaterPlum na pełną inwigilację zainfekowanej maszyny. Po aktywacji, malware nawiązuje połączenie z serwerem Command and Control (C2), skąd może pobierać dodatkowe moduły, wykradać dane uwierzytelniające, a nawet służyć jako punkt wyjścia do dalszej penetracji sieci korporacyjnej. Wybór programistów jako celu nie jest przypadkowy — ich maszyny często posiadają wysokie uprawnienia wewnątrz infrastruktury IT oraz dostęp do kluczowej własności intelektualnej w postaci kodów źródłowych.

Interesująca jest chronologia działań północnokoreańskich aktorów. Od grudnia 2025 roku obserwujemy wyraźne przejście od prostych metod socjotechnicznych do bardziej wyrafinowanych technicznie ataków typu "supply chain-like". Wykorzystanie specyficznych funkcji VS Code pokazuje, że hakerzy z Korei Północnej dogłębnie analizują procesy pracy zachodnich specjalistów. Zamiast liczyć na to, że użytkownik uruchomi podejrzany plik .exe, serwują mu projekt, który "wymaga" uruchomienia w środowisku deweloperskim, co uśpiewa czujność nawet doświadczonych ekspertów.

Warto zwrócić uwagę na szerszy kontekst operacji Contagious Interview. Grupa ta od dawna specjalizuje się w tworzeniu fałszywych tożsamości na portalach takich jak LinkedIn czy GitHub. Budują wiarygodne profile rekruterów, angażują się w długotrwałe konwersacje, a dopiero w krytycznym momencie przesyłają "zadanie testowe". Nowość polega na tym, że teraz to nie sam kod jest wirusem, a konfiguracja środowiska, w którym ten kod ma być analizowany. To subtelna zmiana, która drastycznie podnosi skuteczność ataku.

Architektura bezpieczeństwa w dobie zagrożeń VS Code

W obliczu tak precyzyjnych ataków, tradycyjne podejście do bezpieczeństwa oparte na VPN i prostych antywirusach przestaje wystarczać. Branża musi zwrócić się w stronę koncepcji ZTNA (Zero Trust Network Access), która zakłada, że żadne urządzenie ani użytkownik nie są bezpieczni domyślnie, nawet jeśli znajdują się wewnątrz sieci firmowej. W kontekście programistów, kluczowe staje się izolowanie środowisk deweloperskich i ograniczanie możliwości bocznego poruszania się (lateral movement) złośliwego oprogramowania po sieci po udanej infekcji stacji roboczej.

"Nowoczesne podejście do bezpieczeństwa musi eliminować lateral movement poprzez bezpośrednie łączenie użytkowników z aplikacjami, zamiast dawać im dostęp do całych segmentów sieci."

Dla organizacji, w których pracują deweloperzy, kampania StoatWaffle powinna być sygnałem ostrzegawczym. Konieczne jest wdrożenie polityk bezpieczeństwa, które wymuszają używanie funkcji Workspace Trust w VS Code oraz edukowanie pracowników w zakresie ryzyk związanych z automatyzacją zadań w projektach zewnętrznych. Każdy plik tasks.json pochodzący z nieznanego źródła powinien być traktowany z taką samą nieufnością, jak plik wykonywalny z nieznanej strony internetowej.

Konieczność redefinicji zaufania do narzędzi

Sukces grupy WaterPlum w wykorzystaniu VS Code do dystrybucji StoatWaffle obnaża fundamentalną lukę w sposobie, w jaki postrzegamy narzędzia open-source i środowiska pracy. Przyzwyczailiśmy się do sprawdzania zależności w npm czy PyPI, ale rzadko kto zagląda do katalogu .vscode w poszukiwaniu zagrożeń. Ta asymetria informacji daje hakerom ogromną przewagę, którą będą eksploatować tak długo, jak długo automatyzacja będzie przedkładana nad bezpieczeństwo.

Można prognozować, że technika ta stanie się nowym standardem w arsenale grup APT (Advanced Persistent Threats). Skoro Visual Studio Code dominuje na rynku, każda funkcja ułatwiająca życie programistom — jak auto-run tasks — zostanie prędzej czy później wykorzystana jako wektor ataku. Jedyną skuteczną obroną jest przejście na model pełnej izolacji procesów deweloperskich, gdzie kod z zewnątrz jest uruchamiany wyłącznie w bezpiecznych kontenerach lub maszynach wirtualnych, pozbawionych dostępu do wrażliwych danych systemowych i sieciowych.