Jade Sleet bị cáo buộc tấn công nhà cung cấp IT tại Ấn Độ bằng backdoor FLATROOF và ROOFDECK
"SentinelOne attributed a campaign by the North Korean threat actor Jade Sleet to the compromise of an India-based IT services provider, using social engineering and weaponized Terraform project lures to infect a DevOps engineer's macOS system. The attack deployed two Rust-based backdoors, FLATROOF and ROOFDECK, enabling command execution, data theft, remote shell access, persistence, and lateral movement; no CVE was cited, and the reported mitigation was detection and removal of the implants from the affected host."
Rủi ro cao do xâm nhập máy trạm phát triển, đánh cắp dữ liệu và khả năng duy trì hiện diện/lateral movement trong môi trường nội bộ.
Có thể ảnh hưởng đến mã nguồn, pipeline cloud và quy trình phát triển; việc điều tra, cô lập và làm sạch máy bị nhiễm có thể gây gián đoạn vận hành.
SentinelOne cho biết nhóm đe dọa liên kết với Triều Tiên Jade Sleet đã bị quy kết đứng sau một chiến dịch xâm nhập vào một nhà cung cấp dịch vụ IT tại Ấn Độ. Mục tiêu ban đầu là một kỹ sư DevOps trên macOS, bị lừa mở các kho mã giả mạo liên quan đến Terraform và quy trình phỏng vấn, từ đó tải về thành phần độc hại.
Chuỗi tấn công triển khai hai backdoor viết bằng Rust là FLATROOF và ROOFDECK. FLATROOF dùng Telegram cho điều khiển từ xa, có thể thực thi lệnh, tải lên/tải xuống tệp và thu thập dữ liệu trình duyệt, lịch sử Terminal, danh sách ứng dụng, thông tin hệ thống và login.keychain-db. ROOFDECK dùng Nostr cho C2 phi tập trung, hỗ trợ trinh sát hệ thống, thao tác tệp, remote shell, lateral movement và duy trì hiện diện qua Launch Agents.
Theo báo cáo, các mẫu độc hại đã được phát hiện trên máy bị ảnh hưởng từ 18/03/2026 và hoạt động rõ rệt từ 29/03/2026. Khuyến nghị ưu tiên giám sát máy trạm phát triển, kiểm tra kho mã và dependency lock file, chặn miền bất thường, rà soát Terraform init và gỡ bỏ ngay các implant nếu phát hiện dấu hiệu xâm nhập.