針對軟體工程師的社交工程攻擊近年來愈發精巧。近期安全研究機構 Elastic Security Labs 揭露了一場由北韓背景駭客組織（追蹤代號 REF9403）發起的攻擊行動。這次攻擊的核心手段是利用開發者對求職機會的渴望，透過偽造的程式碼測試（Coding Test）來誘騙工程師在本地環境執行惡意代碼，最終植入名為 OtterCookie 的多功能惡意軟體。
這類攻擊的起點通常是社交工程，也就是利用心理操縱來獲取信任。駭客這次將觸角伸向了 Slack 等社群工作區，偽裝成招聘人員，開出極具吸引力的條件，邀請經驗豐富的開發者協助升級電子商務平台。他們甚至列出了非常具體的現代技術棧，例如 Next.js 14、NestJS、PostgreSQL 和 Auth.js，以增加可信度。
當開發者對職缺感興趣後，駭客會要求對方完成一個程式碼評估測試。這在業界是標準流程，因此很容易降低工程師的警覺心。駭客會提供一個看似功能完整的 GitHub 儲存庫（Repository），要求開發者下載並運行。然而，這個專案中隱藏了極其危險的陷阱。
為了避開安全軟體的偵測，駭客使用了隱寫術（Steganography）。隱寫術是一種將秘密資訊隱藏在非秘密媒介中的技術，讓外部觀察者完全察覺不到其中包含數據。在這次案例中，駭客將惡意代碼拆分成多個 Base64 編碼的片段，並將其藏在專案資產目錄下、看似正常的 SVG 國旗圖片文件的 HTML 註釋中。
對開發者來說，這些 SVG 檔案在瀏覽器或編輯器中看起來就是普通的圖片，完全沒有異常。但專案中包含的一個 JavaScript 檔案 serverValidation.js 會在後台默默地將這些分散在各個 SVG 檔案中的碎片重新組合，並在伺服器每次啟動時自動執行。
一旦惡意代碼被激活，它會部署一個名為 OtterCookie 的模組化惡意軟體。OtterCookie 是一個跨平台的威脅工具，其功能涵蓋了四個主要模組：首先是瀏覽器憑證與加密貨幣錢包竊取器，旨在搶奪數位資產；其次是文件竊取器，會根據特定副檔名搜尋並上傳敏感文件；第三是基於 Socket.IO 的遠端存取木馬（RAT），讓駭客能遠端執行 Shell 指令控制你的電腦；最後則是剪貼簿竊取器，用來截獲密碼或交易地址。
值得工程師特別關注的是，OtterCookie 現在已經進化到能針對 AI 輔助開發工具進行攻擊。它會刻意搜尋如 .claude、.cursor、.gemini、.windsurf 等 AI 編輯器或插件的配置檔案。這顯示出攻擊者意識到現代開發者高度依賴 AI 工具，而這些工具的配置檔中可能包含敏感的 API 金鑰或專案機密。
這次事件給所有開發者的啟示是：你的開發環境本身就是一個高風險的攻擊面。駭客不需要攻破公司的防火牆，只需要讓你下載一個看似無害的練習專案，就能直接進入你的內部網路。一旦單一開發者的電腦被控制，駭客就能以此為跳板，發動更深層的供應鏈攻擊（Supply Chain Attack），進而威脅到整個組織的下游客戶。
為了保護自己，建議在執行任何來源不明的開源專案或求職測試代碼前，務必使用隔離的虛擬機（VM）或容器環境（如 Docker），且嚴格限制該環境的網路存取權限。同時，應養成檢查專案依賴項與異常檔案內容的習慣，不要輕信任何以求職為誘餌的執行請求。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。