Linux-версия IronWorm заражает пакеты npm украденными токенами
IronWorm вновь обнаружили в скомпрометированных версиях npm-пакета jscrambler, загруженных 11 июля 2026 года. Вредоносный загрузчик находится в файле package/dist/intro.js версий 8.14.0, 8.16.0, 8.17.0, 8.18.0 и 8.20.0.
Загрузка и распространение через npm
Загрузчик анализирует собственный контейнер, который распознаёт по магическим байтам 1B 43 53 49 01 03 00. Он извлекает подходящую для платформы полезную нагрузку, распаковывает её с помощью gzip, записывает в скрытое временное расположение и запускает как отсоединённый процесс. Контейнер содержит полезную нагрузку в форматах ELF для Linux x86-64, PE для Windows x86-64 и Mach-O для macOS ARM64.
Полезная нагрузка для Linux может автоматически распространяться через npm. Она ищет учётные данные npm в переменных окружения и файлах, в том числе NPM_TOKEN, NODE_AUTH_TOKEN и .npmrc, а затем проверяет украденные токены через API npm. Также она перечисляет организации и пакеты и отдаёт приоритет популярным целям, опираясь на статистику загрузок npm.
Для заражения пакетов полезная нагрузка скачивает их архивы, добавляет вредоносный скрипт setup.mjs и изменяет package.json, чтобы запускать скрипт через preinstall. Заражённые пакеты публикуются с помощью необработанных HTTP-запросов PUT к реестру npm, в которых используется украденный токен типа bearer.
Цели и сбор данных
IronWorm теперь нацелен на кошельки в виде расширений браузера, включая MetaMask и Trust Wallet, учётные данные VPN и сетей, ключи скрытых сервисов Tor, хранилища 1Password и Bitwarden, данные KDE Wallet, учётные данные облачных сервисов и разработчиков. В число целей также входят конфигурации инструментов для наступательной безопасности: Metasploit, Sliver, Havoc, Mythic, Covenant, AdaptixC2 и Shad0w.
Строки вредоносной программы защищены шифрованием ChaCha20-Poly1305, применяемым отдельно для каждого места вызова. Она может загрузить и запустить собственный Tor Expert Bundle, устанавливать соединения SOCKS5 и обмениваться данными через HTTP на порту 80 либо через необработанный TCP на порту 8080. В шифрованном протоколе используются X25519 и ChaCha20-Poly1305. Он поддерживает профилирование системы, выполнение и отмену команд, а также вызов Bash, Python, PowerShell и CMD.
Связь с командным сервером и закрепление
Массовые данные загружаются напрямую в temp.sh по HTTPS, а полученный URL возвращается через Tor. Зафиксированы IP-адреса командных серверов 37.27.122.124 и 57.128.246.79.
Для закрепления вредоносная программа использует службы systemd или cron в Linux, LaunchAgents и LaunchDaemons в macOS, а также папку «Автозагрузка» в Windows.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
