北朝鮮ハッカー集団、GitHubを悪用して開発者を標的に

開発者向けの採用選考やコードレビューを装ったルアーを活用し、攻撃者が管理するGitHubリポジトリを通じてクロスプラットフォーム対応マルウェアを配布する、持続的なフィッシングキャンペーンが確認されました。

UNK_DeadDropとして追跡されているこの作戦は、北朝鮮に関連する脅威アクターによるものと高い信頼度で帰属が判断されており、6週間にわたって250通以上のカスタマイズされたメールを送信することで、金融・暗号資産・教育・テクノロジーなど約100の組織を標的にしました。

この感染チェーンの特徴は、正規の開発者ワークフローを悪用している点にあります。メッセージにはGitHubリポジトリへのリンクが含まれており、自宅で取り組む採用課題やオープンソースプロジェクトを装って提示されていました。

Visual Studio CodeまたはCursorエディタで開くと、プラットフォーム固有のランチャーが実行され、悪意のあるVS Code拡張機能（VSIX）がインストールされるとともに、埋め込まれたペイロードがデコードされます。CursorはVS Codeとは異なり信頼確認ダイアログを表示しないため、ユーザーの操作なしにサイレント実行が可能です。

各リポジトリには隠し.vscodeフォルダが含まれており、フォルダを開いた際に自動実行されるよう設定されたtasks.jsonが格納されていました。

Proofpointの分析によると、このキャンペーンはOSごとに異なるペイロードを配布しています。LinuxおよびmacOSに対しては、オープンソースのOverlord C&Cフレームワークを基に開発されたネイティブGoバイナリが展開されます。

これらのバイナリは永続的なRATとして機能し、ブラウザの認証情報を収集するモジュール、暗号ウォレットを標的とした収集機能、そしてアンチフォレンジクスのクリーンアップ機能を備えています。

macOSの感染チェーンには、ユーザーのパスワードを詐取するための巧妙な偽システムダイアログを表示するMach-Oコンポーネントが含まれています。その後、Keychain ACLを改ざんし、昇格した権限でエージェントを再起動することで、Safe Storageキーとキーチェーンデータを全量窃取します。

北朝鮮ハッカー集団によるGitHub悪用の手口

Linux版はZenityダイアログとGNOME Keyringへのアクセス手法（Pythonベースのフォールバック技術を含む）を利用しており、同様に権限昇格を行ってシークレット情報を窃取します。

Windowsへの感染は異なるアーキテクチャを採用しており、攻撃はエディタのElectron/Nodeランタイム（ELECTRON_RUN_AS_NODE=1）上で完結します。

起動したパイプラインは、実行時にAES-GCMで保護された3つのペイロード（Node.jsエージェント、ウォレットスティーラー、認証情報窃取スクリプト）を復号し、ウォレット収集と認証情報窃取の2段階で動作します。

Windowsのスティーラーは35種類のウォレット拡張機能IDおよび複数のスタンドアロンウォレットアプリを標的としており、COMの権限昇格技術とボリュームシャドウコピーやロック済みデータベースへのバックアップアクセスを組み合わせることで、App-Bound Encryptionの保護機能の回避も試みます。

永続動作するLinux/macOS版のRATとは異なり、Windowsのパイプラインは収集したデータを同一のC2サーバーにアップロードした後、自己消去して終了します。

Proofpointの分析では、リポジトリは正規プロジェクトに見せかけるよう巧みに作られていたことが明らかになっています。プロフェッショナルなPython/Foundryのプロジェクト構成、動作するスクリプト、そして本物らしいドキュメントが揃えられていました。

テーマには、暗号資産の価格予測プラットフォーム、エクスプロイトアーカイブ、Foundry ERC-4626テスト、AI決済ツールなどが含まれていました。攻撃者は複数のアカウントを使ってビルドを繰り返し改良し、Vercelなどのサービス上にサポートページを開設していました。

インフラは2026年4月〜5月にかけて急速に整備されており、ドメインはNamecheapで登録され、メール送信にはMailgunやMailHostBoxなどのサービスが使用されました。

一部のドメイン（nemesis[.]workを含む）はAdvin Services LLCのIPアドレスをホスティングに使用しており、これらはUNK_DeadDropの初期キャンペーンで送信元IPとしても使用された、攻撃者が管理するサーバーと見られています（170.205.29[.]83および170.205.30[.]227）。

UNK_DeadDropは、開発者を標的としたContagious Interviewキャンペーンで過去に報告された手口（GitHubによる配信やVS Codeの悪用）を踏襲しています。ただし、配信規模、リポジトリ内への埋め込みペイロードの使用、UnixシステムにおけるOverlordの主要ペイロードとしての採用、CursorとVSIXの永続化を悪用したサイレント実行技術など、いくつかの点で異なります。

これらの相違点から、Proofpointは戦術的な重複があるものの、UNK_DeadDropを別個のクラスターとして分類しています。

このキャンペーンは、脅威アクターが開発者ツールや信頼性の高いコード共有プラットフォームを武器化して従来の防御をかいくぐる、という増加傾向を改めて示すものです。

防御側は、不審なリポジトリリンクや採用を装ったメールを慎重に扱い、IDEの信頼設定と拡張機能ポリシーを適切に管理し、タスクの自動実行を制限するとともに、異常な子プロセスの発生、予期しないVSIXのインストール、疑わしいC2エンドポイントへのWebSocketまたはHTTP POSTによる外部通信を監視することが重要です。

IOC（侵害指標）

注意： IPアドレスおよびドメインは、誤ったアクセスやハイパーリンク化を防ぐため、意図的にdefang処理（例：[.]）が施されています。MISP、VirusTotal、SIEMなどの管理されたスレットインテリジェンスプラットフォーム内でのみ、元の形式に戻して使用してください。