Адна ўразлівасць, адзінокі шкоднасны пакет, схаваны сярод мільёнаў, можа паставіць пад пагрозу бяспеку незлічоных праграм, паставіўшы пад пагрозу як бізнес-аперацыі, так і прыватнасць карыстальнікаў. Менавіта ў гэтым нестабільным асяроддзі наша каманда ў Xygeni распачала аперацыю па забеспячэнні бяспекі, выявіўшы суровую рэальнасць, якой многія баяліся, але мала хто мог пацвердзіць: прысутнасць шкоднасных npm-пакетаў у самым цэнтры нашай лічбавай экасістэмы.
З 13 па 15 студзеня 2024 года наша запатэнтаванае сканаванне на наяўнасць шкоднаснага кода прабіла заслону звычайнасці, выявіўшы не адзін, а дзесяць падступных npm-пакетаў. Гэта былі не выпадковыя злачынствы, а кампаніі, кожная з якіх была распрацавана для выкрадання канфідэнцыйных дадзеных у цёмныя куткі Інтэрнэту. Гэта адкрыццё — не проста сігнал трывогі; гэта гучны заклік да дзеяння для ўсіх зацікаўленых бакоў у працэсе распрацоўкі праграмнага забеспячэння.
У той час гэты аб'ём быў усё яшчэ значным. У 2026 годзе ён ужо не такі. Апошнія выпускі нашых Дайджэст шкоднаснага кода штотыдзень толькі праз npm і PyPI пацвярджаецца больш за 100-200 шкоднасных пакетаў, то за гэты ж трохдзённы перыяд сёння было б на парадак больш. Метады вываду і ўхілення ад вірусаў, апісаныя ніжэй, не зніклі; яны проста былі індустрыялізаваны ў маштабах, якіх ніхто не чакаў у пачатку 2024 года.
Як піянеры ў галіне кібербяспекі, Xygeni мае унікальную выгадную пазіцыю, якая дазваляе нам не толькі выяўляць гэтыя пагрозы, але і глыбока разумець іх наступствы. Гэты даклад з'яўляецца сведчаннем нашага commitмент для абароны лічбавых межаў выяўлення шкоднасных доказаў у кодзе, каб пазбегнуць канверсіі ў будучых атаках.
Далучайцеся да нас, каб паглыбіцца ў складаныя дэталі гэтых кампаній, раскрыць метады зламыснікаў і, самае галоўнае, праліць святло на тое, як бізнес можа ўмацаваць сваю абарону ад такіх падступных пагроз.
Першапачатковае выяўленне: узлом Aurora Webmail Pro
Першым адкрыццём у нашым расследаванні стаў пакет пад назвай aurora-webmail-pro, які быў загружаны ў рэестр NPM карыстальнікам з псеўданімам 0x379cНеўзабаве пасля гэтага адкрыцця былі выяўлены яшчэ чатыры пакеты, усе загружаныя адным і тым жа аўтарам, перш чым іх дзейнасць была спынена мерамі бяспекі рэестра.
Гэтыя пакеты ўключалі блог_2021@1.1.1, heatwallet@10.1.1, newbooking@1.1.1, і pecko@1.0.1Пасля праверкі быў выяўлены ў кожным пакеце вельмі падобны шкоднасны код, накіраваны на крадзеж канфідэнцыйнай інфармацыі карыстальніка.
Праграма аднаўляе канфідэнцыйную сістэмную інфармацыю адносна карыстальніка і сістэмы і стварае шаснаццатковы дамп з гэтымі дадзенымі. Затым дадзеныя перабіраюцца, і для кожнага фрагмента робіцца запыт GET да знешняга сайта, дзе шляхам доступу з'яўляецца кожны з пабудаваных фрагментаў.
Другаснае раскрыццё: розныя тактыкі распаўсюджвання шкоднаснага кода
Адначасова з выяўленнем першай партыі, наша расследаванне выявіла чатыры дадатковыя пакеты NPM, размеркаваныя па рэестры трыма рознымі карыстальнікамі.
Гэтыя пакеты, пералічаныя як anyone-deps@1.0.0, shoponline.epiroc.com@1.0.1, shoponline.epiroc.com@1.0.2, і synology-cft@10.0.0мелі агульную нітку ў сваёй кодавай базе — кожны быў распрацаваны для высмоктвання інфармацыі карыстальнікаў. Прыкметна, што метад, які выкарыстоўваўся для выцягвання дадзеных у гэтых выпадках, адрозніваўся ад метаду першай групы, што намякала на асобную, хоць і не менш зламысную, кампанію.
Стратэгія гэтай другой кампаніі прадугледжвала больш прамы падыход да збору канфідэнцыйных дадзеных. Пасля актывацыі шкоднасны код у гэтых пакетах пачынаў дбайную разведку, здабываючы падрабязную інфармацыю аб канфігурацыі сістэмы карыстальніка, асабістых дадзеных карыстальніка і, у прыватнасці, IP-адрасе сістэмы. Гэты комплексны збор дадзеных быў накіраваны на стварэнне поўнага дасье на ахвяру, што стварыла ўмовы для патэнцыйна больш глыбокіх узломаў або мэтанакіраваных атак.
Важна падкрэсліць, што, нягледзячы на патэнцыял гэтых пакетаў маскіруцца пад законныя даследаванні ў галіне бяспекі, такія як выяўленне ўразлівасцяў з дапамогай тактыкі блытаніны залежнасцей, рэальнасць застаецца нязменнай. Гэтыя пакеты цалкам могуць быць распрацаваны са злым намерам, таемна збіраючы і перадаючы канфідэнцыйныя дадзеныя несанкцыянаваным знешнім асобам.
Спецыяльнае папярэджанне: анамалія djs13-fetcher і яе наступствы для кібербяспекі
Падчас праверкі вышэйзгаданых пакетаў наша платформа выявіла дадатковую анамалію: пакет пад назвай djs13-fetcherГэтае канкрэтнае адкрыццё адрозніваецца ад папярэдніх выпадкаў не толькі метадам дзеяння, але і характарам пагрозы, якую яно ўяўляе. djs13-fetcher быў ідэнтыфікаваны як ініцыятар загрузкі і паслядоўнасці выканання для ўкладання з Discord, у прыватнасці, двайковага файла пад назвай astroia.exeПасля больш уважлівага вывучэння з дапамогай аўтаматызаванай службы аналізу гэты бінарны файл атрымаў Ацэнка пагрозы 85/100, рэйтынг, які адназначна класіфікуе яго як шкоднаснае праграмнае забеспячэнне.
Аперацыя djs13-fetcher і наступнае выкананне astroia.exe падкрэсліваюць складаны і шматгранны вектар пагрозы. Разгляданы бінарны файл быў распрацаваны для выканання серыі дзеянняў, якія сведчаць пра глыбока ўкаранёны зламысны намер:
- Працэсы сістэмы нерастуШкоднаснае праграмнае забеспячэнне запускае некалькі сістэмных працэсаў пасля выканання, метад, які часта выкарыстоўваецца для выканання далейшых шкоднасных скрыптоў або для ўмацавання заражанай сістэмы для атрымання дадатковых карысных нагрузак.
- Запыт сістэмнай інфармацыіЁн выконвае шырокія запыты сістэмнай інфармацыі. Гэта дзеянне звычайна накіравана на збор разведвальных дадзеных аб сістэмным асяроддзі, якія можна выкарыстоўваць для адаптацыі наступных атак да канкрэтных уразлівасцей сістэмы.
- Выкананне манеўраў ухіленняМагчыма, найбольш прыкметным з'яўляецца тое, што astroia.exe быў распрацаваны для выканання запытаў інструментара кіравання Windows (WMI), каб вызначыць, ці працуе ён у віртуальнай машыне (VM). Гэтая паводзіны з'яўляецца відавочным манеўрам, прызначаным для таго, каб пазбегнуць выяўлення і аналізу спецыялістамі па кібербяспецы і аўтаматызаванымі сістэмамі, якія звычайна выкарыстоўваюць віртуальныя машыны для аналізу шкоднасных праграм.
Ключавыя вынасы
Выяўленне гэтых 10 шкоднасных npm-пакетаў, а таксама асаблівага выпадку djs13-fetcher, стала раннім сігналам заканамернасці, якая з тых часоў пашырылася значна далей, чым хто-небудзь чакаў у студзені 2024 года.
Гэтая рэальнасць падкрэслівала нават тады неад'емную ролю Служба ранняга папярэджання XygeniРаспрацаваны для аналізу і папярэджання аб патэнцыйных пагрозах у новых npm-пакетах адразу пасля іх публікацыі, наш сэрвіс уяўляў сабой значны крок наперад у праактыўнай кіберабароне на той момант, і яго логіка станавілася толькі больш неабходнай па меры росту аб'ёмаў. Забяспечваючы ранняе выяўленне прыкметных сігналаў шкоднаснасці, значна раней за... standard працэдуры, мы даем нашым кліентам магчымасць абараніць свае праграмныя экасістэмы ад патэнцыйнага пранікнення шкоднасных праграм, перш чым яны змогуць прычыніць шкоду. Гэты від выяўлення цяпер працуе бесперапынна: глядзіце пацверджаныя вынікі гэтага тыдня ў нашым Дайджэст шкоднаснага кода.
Арганізацыі павінны надаць прыярытэт укараненню надзейных пратаколаў бяспекі, ад рэгулярных праверак кода да складаных інструментаў выяўлення, каб абараніцца ад складанай тактыкі, якую выкарыстоўваюць кіберзлачынцы. Ксігені, мы застаемся commitабавязаны ўзначаліць гэтую няспынную барацьбу, забяспечваючы нашых партнёраў і шырэйшую супольнасць ведамі і інструментамі, неабходнымі для барацьбы з гэтымі падступнымі пагрозамі.
Часта задаваныя пытанні
Ці з'яўляюцца шкоднасныя npm-пакеты ўсё большай праблемай у 2026 годзе?
Так, значна. У гэтым пасце задакументавана 10 шкоднасных пакетаў npm, знойдзеных за тры дні ў студзені 2024 года. Дайджэст шкоднаснага кода Xygeni цяпер пацвярджае больш за 100-200 шкоднасных пакетаў штотыдзень у npm і PyPI, што сведчыць аб тым, што тактыкі выкрадання і ўхілення ад кантролю, выяўленыя тут, значна павялічыліся, а не зніклі.
Як я магу праверыць, ці з'яўляецца npm-пакет шкоднасным, перад яго ўсталёўкай?
Праверце гісторыю распрацоўшчыка, даты публікацыі і колькасць загрузак на наяўнасць анамалій, а таксама выкарыстоўвайце аўтаматычнае сканаванне, якое выяўляе шаблоны выцяснення і паводзіны, звязаныя з уцечкай, а не толькі вядомыя супадзенні CVE, бо большасць шкоднасных пакетаў, у тым ліку ўсе 10, апісаныя тут, былі новымі на момант выяўлення.
Як я магу праверыць, ці з'яўляецца npm-пакет шкоднасным, перад яго ўсталёўкай?
Праверце гісторыю распрацоўшчыка, даты публікацыі і колькасць загрузак на наяўнасць анамалій, а таксама выкарыстоўвайце аўтаматычнае сканаванне, якое выяўляе шаблоны выцяснення і паводзіны, звязаныя з ухіленнем ад злому, а не толькі вядомыя супадзенні CVE, бо большасць шкоднасных пакетаў, падобных да тых, што апісаны ў гэтым дакладзе, былі новымі на момант выяўлення.
Ці рэгулярна выяўляюцца новыя шкоднасныя npm-пакеты?
Так. Ксігені Дайджэст шкоднаснага кода штотыдзень публікуе новыя пацверджаныя шкоднасныя пакеты npm і PyPI; метады выкрадання і абыходу віртуальных машын, задакументаваныя ў гэтай справаздачы за 2024 год, застаюцца распаўсюджанымі ў пакетах, выяўленых сёння.
