Ein Entwickler, der einen neuen Job sucht, durchforstet Foren, Slack-Communities oder LinkedIn. Plötzlich meldet sich jemand mit einem Angebot: Ein E-Commerce-Projekt soll modernisiert werden, die Bezahlung ist üppig, die Aufgaben klingen spannend. Es gibt einen kleinen Coding-Test – eine typische Einstiegsaufgabe. Das Repository wird heruntergeladen, die lokale Entwicklungsumgebung gestartet. Alles sieht gut aus. Während der Entwickler stolz seine Lösung präsentiert, läuft im Hintergrund etwas anderes ab. Sein Rechner wird zum Werkzeug für eine Spähaktion, gesteuert von einer Gruppe, die mutmaßlich mit Nordkorea verbunden ist.
Das beschreibt ein Bericht von Elastic Security Labs. Die Sicherheitsforscher haben eine Kampagne entdeckt, die sie „Contagious Interview“ nennen, intern REF9403. Die Angreifer verstecken Schadcode in scheinbar harmlosen SVG-Bilddateien – mit einer Technik namens Steganografie. Vermeintliche Flaggen-Icons von Ländern tragen die schädliche Fracht.
Elastic wurde auf die Kampagne aufmerksam, weil jemand in ihrem eigenen Community-Slack-Workspace auftauchte. Ein Nutzer namens „Maxwell“ postete am 26. Mai 2026 im Kanal #jobs eine Nachricht: Man suche einen erfahrenen Entwickler für die Modernisierung einer E-Commerce-Plattform. Wer Interesse zeigte, wurde in Direktnachrichten gelotst. Dort erhielten die Kandidaten ein getarntes Repository mit einer Coding-Challenge. Laut Elastic Security Labs begann damit eine vierstufige Infektionskette. Sie führt auf das Schadprogramm OTTERCOOKIE zurück – ein Toolkit, das Browser-Zugangsdaten, Krypto-Wallet-Daten, Dateien und die Zwischenablage ausspäht und eine Hintertür für weitere Angriffe öffnet.
Die Methode zielt auf eine typische Entwicklerroutine ab. Viele Programmierer laden bei Bewerbungsprozessen fremde Repositories herunter, führen sie lokal aus und prüfen die Funktionalität. Genau diesen Moment nutzen die Angreifer. Die getarnten Projekte – Elastic listet Namen wie „next-ecommerce-private-main.zip“, „shopping-platform-main.zip“ oder „ecommerce-platform.zip“ – enthalten voll funktionsfähigen Code. Es sind echte, geklaute Vorlagen von Plattformen wie GoCart. Die Schadsoftware wird in kleinen, harmlos wirkenden Schnipseln in den Code eingewebt. Die wahre Magie passiert in den SVG-Dateien.
SVG-Dateien sind Vektorgrafiken aus Text. Normalerweise zeigen sie Icons oder Logos. In dieser Kampagne enthalten die Dateien jedes Landes – etwa „AE.svg“ für die Vereinigten Arabischen Emirate oder „AF.svg“ für Afghanistan – einen HTML-Kommentar. Darin sind Base64-kodierte Fragmente des Schadcodes versteckt. Ein JavaScript-Skript namens „serverValidation.js“ im Repository setzt diese Fragmente aus allen Flaggen in alphabetischer Reihenfolge wieder zusammen, dekodiert sie mit einer eigenen Base64-Funktion und führt sie via eval() aus. Der Umweg umgeht klassische Signaturerkennung. Ein einfacher Scanner, der nach „Buffer.from“ oder „atob()“ sucht, findet nichts. Die Dekodierung wird selbst geschrieben – ein Beispiel für die Anpassungsfähigkeit der Bedrohungsakteure.
Sobald der Server startet (über „npm run dev“ oder „npm start“), wird die Funktion „runServerValidation()“ aufgerufen. Der Schadcode lädt dann in vier Modulen nach: einem Browser-Credential-Stealer, einem Datei-Dieb, einem Remote-Access-Trojaner (RAT) über Socket.IO und einem Clipboard-Stealer, der auch Windows-PE-Dateien ablegen kann. Der Browser-Credential-Stealer tarnt sich als harmloser npm-Cache-Prozess mit dem Titel „npm-cache“. Er durchsucht systematisch alle gängigen Browser – Chrome, Edge, Brave, Opera, LT Browser – auf Windows, macOS und Linux nach gespeicherten Logins, Autofill-Daten und vor allem nach Datenbanken von Krypto-Wallet-Erweiterungen. 25 verschiedene Wallet-Erweiterungen werden gezielt angegriffen. Die gestohlenen Daten landen per HTTP-POST auf Servern wie „ldb.rightwidth[.]dev“. Die acht wichtigsten Wallet-Daten werden mehrfach übertragen, bis der Server den Erhalt bestätigt – die anderen laufen im Feuer-und-Vergessen-Modus.
Der Datei-Dieb geht systematischer vor. Auf Windows-Systemen führt er zuerst eine WMI-Abfrage aller Laufwerksbuchstaben aus („wmic logicaldisk get name“) und scannt dann jedes Laufwerk rekursiv nach Dateien mit bestimmten Erweiterungen. Auf macOS und Linux beschränkt er sich auf das Home-Verzeichnis. Auch der macOS-Schlüsselbund („login.keychain-db“) wird gestohlen. Der RAT nutzt Socket.IO für eine persistente Verbindung zum Kommando-Server, die es den Angreifern ermöglicht, jederzeit neue Befehle nachzuladen. Der Clipboard-Stealer überwacht die Zwischenablage nach Kryptowährungsadressen und ersetzt sie durch eigene – eine klassische Methode, um Transaktionen umzuleiten.
Die Verbindung zu Nordkorea ergibt sich laut Elastic aus der Code-Ähnlichkeit mit früheren Kampagnen. Die Schadsoftware OTTERCOOKIE wurde erstmals im Dezember 2024 von NTT Security dokumentiert. Viele Zeichenketten, Verhaltensmuster und die Skriptstruktur stimmen mit früheren Berichten überein, etwa von Microsoft. Die beobachteten API-Endpunkte decken sich mit kürzlich von JFrog Security gefundener Infrastruktur. Die Grenze zwischen OTTERCOOKIE und dem verwandten BEAVERTAIL ist inzwischen verschwommen. Früher war BEAVERTAIL eher ein Erstzugangs-Downloader und OTTERCOOKIE ein reiferes Spähwerkzeug. Heute liefern die Angreifer ein All-in-One-Paket, das Stealer, RAT und Clipboard-Dieb kombiniert – ohne die früher übliche Python-Stufe.
Für Entwickler heißt das: Sei extrem vorsichtig mit Coding-Challenges von unbekannten Kontakten in offenen Foren. Prüfe Repositories vor dem Ausführen auf ungewöhnliche Abhängigkeiten oder auffällige Dateien. Ein Blick in die package.json und in versteckte Skripte wie „serverValidation.js“ kann viel verraten. Die Sicherheitsforscher bei Elastic betonen, dass diese Angriffe nicht nur Einzelpersonen treffen, sondern ganze Lieferketten gefährden können. Wer als Entwickler kompromittiert ist, kann zum Einfallstor für Supply-Chain-Angriffe werden – indem Schadcode in Projekte eingeschleust wird, die später von vielen genutzt werden.
Die Kampagne zeigt, wie raffiniert die Täter vorgehen. Steganografie in SVG-Dateien ist nicht neu, aber in Kombination mit dem sozialen Köder des Schein-Jobs erhält sie eine neue Qualität. Es ist ein Katz-und-Maus-Spiel: Jedes Mal, wenn eine Tarnung durchschaut wird, entwickeln die Angreifer die nächste. Der Bericht von Elastic Security Labs endet mit einem Appell zur Wachsamkeit. Entwickler gehören zu den wertvollsten Zielen – nicht nur wegen ihres Wissens, sondern wegen ihres Zugangs zu Systemen und Code. Wer eine vermeintliche Coding-Challenge ausführt, setzt nicht nur einen Job aufs Spiel, sondern seine gesamte digitale Identität.
Quelle: elastic.co
