大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【...】,然后点击【设为星标】即可。
关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。
很多人以为macOS天生足够安全，但国家级APT早已把苹果硅MacBook当成重点突破口。
SentinelOne最新披露Jade Sleet（UNC4899 / TraderTraitor）攻击事件。该组织因盗取Bybit约15亿美元冷钱包资产闻名，原本主攻Web3加密货币领域，现在把触手伸向普通IT服务商。攻击者通过求职面试社工钓鱼，针对DevOps工程师的Apple Silicon Mac植入两款自研Rust后门 FLATROOF、ROOFDECK。
特别值得关注：两款后门采用完全不同的通信架构，一个拿Telegram作为C2通道，另一个利用去中心化Nostr协议下达签名指令；恶意程序可以在电脑中长期静默休眠，打开开发工作区瞬间被激活，就算是没有加密业务的IT企业同样会成为猎物。
一、攻击者背景：从百亿加密货币大盗到全行业开发者狩猎
Jade Sleet，别名PUKCHONG、Slow Pisces、UNC4899，隶属于朝鲜国家级攻击集群，是业内臭名昭著的Web3黑客团伙。
2025年：通过供应链入侵Safe{Wallet}开发环境，窃取Bybit冷钱包约15亿美元加密资产；
2026年3‑4月：发动KelpDAO LayerZero跨链桥攻击，造成数亿美元损失；
最新动向：不再只盯着区块链项目，开始攻击普通IT服务供应商，只要拥有云、CI/CD流水线权限的DevOps工程师都是目标。
攻击逻辑：攻陷一家IT服务商，就可以顺着信任链，批量入侵下游大量客户，实现“攻破一家，打击一批”的供应链放大效果。
二、攻击入口：高仿面试项目，Terraform投毒GitHub仓库
该团伙标志性战术就是“求职面试社工钓鱼”，专门瞄准找工作的DevOps、开发、金融科技人员。
1. 攻击者伪装企业HR，给求职者发送GitHub仓库链接，声称是“面试编码作业”“基础设施测试项目”；
2. 仓库内携带被篡改的Terraform依赖锁文件 `.terraform.lock.hcl`；
3. 文件指向黑客伪造的HashiCorp仓库域名，受害者执行`terraform init`，就会自动拉取并执行攻击者的恶意模块。
已曝光的恶意仓库名称：
`gtn‑candidate‑repo`、`Northwind‑IAC`、`novacart‑interview`、`terraform‑candidate‑repo`
很多开发者习惯拿到Demo仓库直接执行初始化命令，没有仔细校验依赖源，一键就把Mac电脑门户大开。
真实受害案例：印度IT服务商入侵时间线
安全人员狩猎恶意样本时，意外发现另一受害单位——一家和加密行业无关的印度中小型IT服务商：
1. 3月18日：DevOps工程师的Apple Silicon MacBook上已经出现FLATROOF、ROOFDECK后门，长期处于休眠状态；
2. 3月29日：受害者用Cursor编辑器打开`~/DevOps‑Automation/cloudshield`开发工作区，后门立刻被唤醒，开始向外C2心跳通信，启动侦察窃密；
3. 4月20日：也就是KelpDAO攻击事件曝光第二天，攻击者推送ROOFDECK更新版本，删除旧版后门，剥离符号与调试信息，进一步规避安全产品检测。
三、两款定制macOS Rust后门功能拆解
两款均为Rust编写、专门针对ARM架构Apple Silicon Mac的恶意程序，分工明确，先后配合完成入侵：
① FLATROOF（别名Gaslight）——信息采集后门，Telegram作为C2
依靠Telegram机器人API接收黑客指令，主打信息大规模窃取，能力清单：
远程执行系统命令、上传下载本地文件；
Python采集模块批量扒取浏览器数据：Chrome、Brave、Firefox、Safari的Cookie、历史记录；
读取Terminal终端历史命令、已安装软件列表、进程快照；
窃取macOS钥匙串文件`login.keychain‑db`，里面存放大量账号密码、证书密钥。
② ROOFDECK——去中心化远控后门，Nostr协议签名指令
这是技术亮点，抛弃传统C2服务器，使用Nostr去中心化社交协议做命令控制通道：
1. 黑客下达的所有命令都用攻击者私钥签名，后门使用内置公钥校验合法性，防止指令被篡改；
2. 内置重实现大量Linux/macOS原生Shell文件操作命令，不需要调用系统自带二进制，对抗EDR行为监控（和Lazarus LightlessCan思路高度一致）；
3. 能力：系统侦察、文件操纵、交互式远程Shell、内网横向移动；
4. 通过Launch Agent实现macOS持久驻留。
部署逻辑：一般先投放FLATROOF完成初步侦察评估，如果目标价值高，再下发ROOFDECK获得深度交互和横向移动能力。
四、关键威胁特点
1. 休眠触发机制：后门可以长期磁盘静默躺平，打开特定开发工作区才激活，平时没有任何网络行为，静态扫描很难发现。
2. 去中心化C2规避防御：ROOFDECK依托Nostr公共网络下发签名指令，没有固定恶意IP域名，传统黑名单拦截手段基本失效。
3. 专门针对开发者终端：DevOps工程师Mac往往持有云账号、CI/CD密钥、数据库凭证，攻陷一台开发机，等于握住进入企业内网的钥匙。
4. 跨行业扩张：不再局限Web3，普通IT外包、软件服务商同样成为狩猎对象。
五、运维&开发自查防护清单
🛡️企业安全运维
1. mac终端狩猎重点
排查未知Launch Agent持久化项，重点关注无签名、来源不明的Rust二进制程序；
监控开发终端异常访问Telegram Bot API、Nostr协议节点的外联行为；
审计Terraform执行日志，警惕外部仓库初始化时拉取非官方HashiCorp注册表域名。
2. 管控开发人员终端权限
DevOps工程师的Mac属于高风险资产，不要持有过高云、生产环境权限，做好最小权限隔离；开发机与生产环境做好网络隔离。
3. 供应链管控
外部面试Demo、GitHub外来项目，务必放到隔离虚拟机运行，禁止直接在本机执行`terraform init`等初始化命令；对引入的Terraform锁文件做源校验。
4. 威胁狩猎：重点查找是否存在`login.keychain‑db`被异常读取的行为。
🛡️开发者个人注意事项
1. 收到求职面试的GitHub测试仓库，不要直接在主力工作Mac运行，优先虚拟机隔离测试；
2. 执行`terraform init`前，务必检查`.terraform.lock.hcl`里面的模块来源，拒绝陌生第三方注册表地址；
3. 定期查看macOS Launch‑Agent目录，排查陌生开机自启程序；
4. Cursor、VS Code打开外来项目工作区，警惕工作区触发恶意代码执行。
六、安全行业深度思考
1. 开发者工作站已经成为APT首要突破口
很多企业把防护重心放在服务器，但是DevOps工程师的Mac，保存着云密钥、数据库凭证、CI/CD令牌。攻破一台开发者个人电脑，APT就可以绕过重重边界防御。
2. 休眠式恶意代码，增加检测难度
后门不是一上来就疯狂联网，而是等待特定开发工作区打开才激活。传统基于“实时恶意行为”的告警很难捕获休眠阶段样本。
3. 去中心化公共协议正在被APT大量滥用
Nostr、Telegram这类公共平台被改造为C2信道，不再依靠黑客自建服务器，拉黑IP域名的传统防御思路效果越来越弱，防御重心转向行为检测。
不要迷信macOS天然安全，面对国家级APT攻击，无论Windows还是Mac都同样面临巨大风险。
结尾互动
你们团队内部如何管控外来GitHub面试项目、Terraform外部依赖？DevOps开发机做过专项安全加固吗？欢迎安全、云原生同行转发给开发团队，警惕Jade Sleet针对开发者的社工供应链攻击。
加入知识星球，可获取权益
一、"全球高级持续威胁：网络世界的隐形战争"，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。
二、为什么加入？
职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？
三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」
✅ 职业发展「精准导航」
1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；
晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；
技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。
✅ 安全方案「对症开方」
实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；
架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。
✅ 圈子资源「直接对接」
大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；
四、适合谁？
想突破职业天花板的安全工程师/架构师；
需快速落地安全项目的企业负责人；
关注行业动态的安全爱好者或IT从业人员。
喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。