朝鮮黑客在SVG國旗里藏木馬：假編碼測試專偷4類數據，開發者一跑代碼就中招

五月底的一個下午，Slack 工作區的 #jobs 頻道突然多了一條消息。發帖人叫 Maxwell，自稱正在為團隊的電商平臺物色有經驗的開發者，要把舊系統升級成“基于 Next.js (v14)、NestJS、PostgreSQL 和 Auth.js 的現代可擴展架構”，還得對接 Stripe 支付。和普通招聘帖不同，他沒有丟出一份職位描述，而是給出一個非常具體的任務：運行一份代碼倉庫，完成一套編碼挑戰，證明自己的技術實力。

陸續有人上鉤，被拉進私聊。他們說，Maxwell 像極了那種真正懂技術、又能開出好條件的獵頭。可沒人想得到，這份看起來再正規不過的“編碼測試”，其實是一場專門為開發者量身打造的數字劫案。

一家企業搜索與可觀測性平臺的安全實驗室在最新報告中還原了整條攻擊鏈。那些代碼倉庫并不只是用來考驗應聘者的編程水平，它們本身就是惡意軟件的運載工具。和常見偽裝不同，攻擊者沒有在依賴項里下毒，也沒有替換編譯腳本，而是把惡意載荷打散，藏進一堆看起來人畜無害的 SVG 國旗圖片里。

在一幅幅命名為 AE.svg、AF.svg 的圖片中，HTML 注釋塊塞滿了 base64 編碼的碎片。這些圖片在項目里承擔著常規 UI 角色，國旗圖標看上去沒有任何異常，但每一行被注釋包裹的字符，都是一段惡意邏輯的組成部分。一旦開發者把項目 clone 下來，按照“測試要求”跑起環境，JavaScript 文件 serverValidation.js 就會靜默讀取這些注釋塊，把分散在幾十張國旗圖里的片段重新拼合，形成完整的惡意代碼。

該實驗室的安全研究員在報告中寫道：“這些看起來完全正常的項目運行時，惡意代碼正在后臺無聲觸發。”他們解釋，載荷被拆成 base64 片段，分布在 assets 目錄下每一張 SVG 國旗圖片的 HTML 注釋里。這就像一本正經的書里，每隔幾頁插入一些零碎的密文，如果不通讀整本書并按順序拼起所有片段，根本看不出任何異常。可一旦照著“閱讀指南”把書翻開，這些散落的密文就會瞬間拼成一把能打開開發者私密數據的鑰匙。

serverValidation.js 不只負責組裝，還把執行時機設計得很狡猾——每次服務器重啟，惡意代碼都會被再次觸發。也就是說，只要開發者的本機環境或測試服務器還沒關掉，攻擊者就能反復進出，持續收割數據。

當那些被拆散的片斷在內存里重組之后，服務器上實際運行的是一套四階段負載，行為與 OtterCookie 惡意軟件高度吻合。

安全研究人員將這一端側載荷細分為四個明確的竊取模塊：一個專門采集瀏覽器中保存的賬戶憑證和加密貨幣錢包信息的竊取器；一個負責遍歷文件系統、打包回傳高價值文檔的文件竊取器；一個基于 Socket.IO 的遠程訪問木馬，讓攻擊者能實時下發命令、操控受害主機；還有一個剪貼板竊取器，專門監控剪貼板內容，捕捉用戶復制過的錢包地址、私鑰、密碼等敏感信息。

OtterCookie 最早在 2024 年 9 月浮出水面。根據該團隊的跟蹤分析，這個跨平臺惡意軟件的進化速度非常快。最初它只是一個相對簡單的工具，主要用來在受感染設備上執行遠程命令，并在文件系統里翻找加密貨幣相關的密鑰文件。但很快，它就被模塊化改造為一個功能更廣的數據竊取平臺：不僅能偷各類瀏覽器的存儲憑據，還能植入 RAT 功能，實現長期駐留和實時控制。安全研究員指出，這次被用作誘餌的倉庫所釋放的惡意載荷，與 OtterCookie 共享了大量代碼特征和模塊結構，兩者高度重疊，可確定為同一家族。

攻擊者對開發者群體的狩獵并非一時心血來潮。該行動被歸入長期跟蹤代碼 REF9403，其背后是一個至少從 2022 年 12 月就開始運轉的大型社交工程行動——“Contagious Interview”。過去幾年間，這個行動主要依靠 LinkedIn、Telegram 等平臺物色目標，冒充知名科技企業的招聘人員，誘使開發者下載含有木馬的 IDE 插件、運行帶有后門的項目模板，或者參與偽造的技術面試。這一次，他們換上新的馬甲，首次闖入 Slack 社區工作區，利用公共 #jobs 頻道的低門檻，直接把誘餌貼在無數潛在受害者面前，將“面試流程”包裝成一次私下的編碼評估。

攻擊路徑本身并不需要超一流的技術，但勝在每一步都踩在開發者的習慣盲區上。開發者在拿到一份測試項目時，通常會把注意力集中在這段代碼的業務邏輯和可運行性上，很少會懷疑圖標圖片里藏著什么。而這份盲區，恰好成了整條鏈路上最致命的一環。