Jade Sleet 被指与印度 IT 服务商入侵事件有关，使用 FLATROOF 和 ROOFDECK 后门

被称为 Jade Sleet 的朝鲜威胁行为者被认定与一家位于印度的信息技术 (IT) 服务行业 "规模小得多的组织" 遭入侵事件有关，这再次凸显了该对手如何持续针对开发者来入侵目标网络。

披露该活动细节的网络安全公司 SentinelOne 表示，此次事件涉及使用被追踪为 FLATROOF（又名 Gaslight）和 ROOFDECK 的 Apple macOS 后门，两者此前均曾在 2026 年 3 月至 4 月对 KelpDAO 的 LayerZero 桥的攻击中被观察到。

Jade Sleet 也被以 PUKCHONG、Slow Pisces、TraderTraitor 和 UNC4899 等代号追踪，其历史包括针对 Web3 领域实施加密货币盗窃。2025 年初，该黑客组织在 Safe{Wallet} 开发者环境遭供应链入侵后，与从 Bybit 冷钱包基础设施窃取约 15 亿美元的事件有关。

"Jade Sleet 主要针对与加密货币及其他区块链相关组织有关联的用户，但也针对这些公司所使用的供应商，"微软旗下的 GitHub 在 2023 年 7 月指出。

SentinelOne 表示，该行动采用以求职面试为诱饵的社会工程学手段（这是多个朝鲜威胁行为者采用的常见策略），针对在攻击过程中被入侵公司的求职者。已发现目标个人从事 DevOps、加密货币或金融科技领域的工作。

"用于编程项目诱饵的 GitHub 仓库主题，被设计为与朝鲜行为者所冒充公司相关的基础设施工程项目，"安全研究员 Albert Priego、Alex Delamotte 和 Matej Havranek 表示。

观察到的一些仓库列举如下：

• gtn-candidate-repo（用于 KelpDAO 事件）
• Northwind-IAC
• novacart-interview
• terraform-candidate-repo

这些仓库包含一个武器化的 Terraform 依赖锁定文件 (".terraform.lock.hcl")，指向恶意域名（例如 "registry.hashicorp-aws[.]com"），当毫无戒心的开发者运行 "terraform init" 命令时，会促使该平台下载攻击者控制的模块。

该攻击链最终部署两个针对基于 ARM 的 macOS 系统的 Rust 恶意软件家族：

• FLATROOF，一个使用 Telegram 进行命令与控制 (C2) 的后门，具备命令执行、文件上传和下载能力，并通过一个 Python 模块进行数据窃取，该模块可收集 Chrome、Brave、Firefox 和 Safari 浏览器数据、Terminal 命令历史、已安装应用程序列表、系统硬件和软件配置、运行进程快照，以及 login.keychain-db 的副本。
• ROOFDECK，一个使用 Nostr 协议进行去中心化 C2 的后门，具备系统侦察、文件操纵、远程 shell 访问、横向移动，以及通过 Launch Agents 建立持久化的能力。

"ROOFDECK 命令由运营者的私钥签名，其完整性在执行前使用一个内嵌公钥进行验证。命令功能在源代码中被分离为不同的处理程序，"SentinelOne 表示。

"该植入体重新实现了许多与目录和文件操作相关的常见 shell 命令，这是更复杂的朝鲜相关工具集（包括 Lazarus 的 LightlessCan）中经常使用的另一种策略。"

这家网络安全公司表示，其对这两个后门的搜寻还发现了另一个无关的受害者，即一家位于印度的 IT 服务提供商，它是通过一名 DevOps 工程师所属的一台 Apple Silicon MacBook 被入侵的。据称，这些后门早在 2026 年 3 月 18 日就已在该机器上被检测到，不过确切的投递机制在现阶段尚不清楚。

"它们一直处于休眠状态，直到 3 月 29 日信标通信和主机活动开始，"研究人员表示。"这些植入体于 3 月 29 日首次由 Cursor 启动，就在 cloudshield 工作区 [~/DevOps-Automation/cloudshield] 被打开几秒之后。"

证据表明，ROOFDECK 是在建立初始立足点和控制之后，作为后续工具部署到受入侵主机上的。此外，据称 ROOFDECK 的一个更新版本于 2026 年 4 月 20 日被部署到该 DevOps 工程师的系统上，就在 LayerZero 公开承认 KelpDAO 遭黑客攻击的次日。

这一新变种除了移除现有的 ROOFDECK 和 FLATROOF 二进制文件外，还移除了符号和调试信息，以试图规避检测。

"这些组织的初始访问行动包括针对第三方及其软件供应链，而这正是行业大部分暴露面已经转移的地方，使开发者端点处于防御的核心，"SentinelOne 表示。

"用于开发的端点携带对云、流水线和源代码的访问权限，这使监控和保护成为组织的高度优先事项。这些行动使用专为开发环境构建的、一次针对一名工程师的目标环境，并搭配为每个受害者都不同的、被植入后门的 Terraform 构建版本。"