Chiến dịch lừa “bài test coding” cài mã độc OtterCookie giấu trong SVG cờ
"North Korean threat actors linked to the Contagious Interview campaign used fake job postings and coding assessments to deliver a trojanized repository containing steganographic malware hidden in SVG flag images. The payload assembles into a four-stage OtterCookie-aligned malware set that steals browser and crypto wallet data, exfiltrates files, captures clipboard contents, and provides Socket.IO-based remote access; the article does not mention a CVE or a vendor patch."
Tác động đáng kể do chuỗi tấn công nhắm vào nhà phát triển để mở đường cho đánh cắp dữ liệu nhạy cảm và điều khiển từ xa qua RAT; payload còn có cơ chế giấu trong SVG để né phát hiện. Các điểm then chốt: steganography trong SVG, RAT Socket.IO, và đánh cắp thông tin ví/clipboard.
Rủi ro vận hành tăng vì có thể dẫn tới rò rỉ tài sản số và dữ liệu nội bộ, đồng thời tạo tiền đề cho tấn công chuỗi cung ứng tới tổ chức khác. Các điểm then chốt: xâm nhập qua Slack và bài test giả, lây lan qua repository trojanized, và khả năng exfiltration tệp.
Các tác nhân đe doạ liên quan chiến dịch Contagious Interview được ghi nhận sử dụng steganography trong tệp SVG để che giấu payload độc hại trong các “bài đăng việc làm” và “bài kiểm tra lập trình” giả. Theo Elastic Security Labs, người dùng chạy dự án sẽ nhận chuỗi tấn công gồm 4 giai đoạn tương thích với họ mã độc OTTERCOOKIE, bao gồm: đánh cắp thông tin đăng nhập trình duyệt và ví tiền mã hoá, đánh cắp tệp, RAT điều khiển từ xa dựa trên Socket.IO, và đánh cắp nội dung clipboard.
Điểm xâm nhập ban đầu được triển khai qua Slack với các mồi nhử tuyển dụng, sau đó chuyển sang tin nhắn riêng yêu cầu hoàn thành bài đánh giá mã nguồn. Bài đánh giá phân phối một repository có vẻ hợp lệ nhưng cài mã độc bằng cách nhúng dữ liệu Base64 trong comment HTML bên trong từng ảnh SVG (ví dụ các tệp cờ). Payload được lắp ghép bởi serverValidation.js và được thiết kế để thực thi khi máy chủ khởi động.
Khuyến nghị: siết chặt quy trình duyệt mã và kiểm thử từ bên ngoài, hạn chế chạy repository không tin cậy, giám sát thay đổi trong thư mục tài sản (assets) và kiểm tra các tệp SVG có chứa comment Base64; đồng thời rà soát dấu hiệu Socket.IO và hành vi truy cập ví/clipboard trên endpoint.