I repo dei developer diventano un canale di malware
La posta in gioco non è più il singolo phishing ben mascherato. Qui si rompe il presupposto che aprire una cartella in un editor sia un gesto neutro: un repo GitHub può far partire codice appena viene aperto, trasformando un’abitudine normale di verifica in esecuzione automatica di malware e in una via stabile per rubare credenziali e wallet data.
Proofpoint collega più di 250 email a quasi 100 organizzazioni alla campagna UNK_DeadDrop, attribuita al cluster nordcoreano Contagious Interview. Le esche puntano su GitHub e su progetti VS Code che usano `runOn: folderOpen`, così il payload parte su macOS, Linux e Windows senza un clic aggiuntivo; nei lotti più recenti la tecnica si è spostata anche sui flussi di review di progetti open source, con l’installazione di una VS Code extension malevola e l’uso di Overlord per il controllo remoto e l’esfiltrazione di dati.
Per i team che lavorano in VS Code, Cursor o su codebase aperte da terzi, il rischio non finisce con il filtro email. Il punto debole è il shortcut di fiducia dentro il toolchain stesso: aprire un progetto non fidato può già bastare a dare all’attaccante persistenza e accesso ai segreti dell’ambiente.