Навыки, серверы MCP и плагины используют домены высокого риска
Анализ 5 458 152 проиндексированных URL выявил 100 доменов высокого риска и 121 компонент агентов, использующий их в рабочих задачах: 108 навыков, 11 серверов MCP и два плагина. Компоненты вызывали API, загружали файлы, передавали данные или направляли агентов к внешним ресурсам. Шестнадцать навыков предписывали агентам выполнять код с доменов высокого риска, в том числе 11 навыков загружали JavaScript через скомпрометированный CDN polyfill.io.
Вредоносные домены в навыках агентов
Один из наиболее показательных примеров, навык ClawHub «clawrtc», который устанавливает майнер криптовалюты RustChain из PyPI. Установщик собирает сведения об операционной системе и типе процессора, а также подключается к bottube.ai, не раскрывая это взаимодействие явно. Майнер периодически отправляет сведения о CPU, имя хоста и MAC-адреса по незашифрованному HTTP на IP-адрес, связанный с rustchain.org. Если включён вариант службы, майнер продолжает работать после повторных входов в систему. В опубликованном описании навыка не раскрыты взаимодействия с третьими сторонами и идентификаторы.
В апреле ThreatFox классифицировал bottube.ai и rustchain.org как инфраструктуру управления ботнетом и указал, что поддельный майнер распространялся через PyPI. Несмотря на последующие обнаружения вредоносного ПО и блокировку DNS, 17 навыков и один сервер MCP продолжали использовать эти домены.
Среди других примеров исследователи обнаружили скопированный навык в области финансов, который загружает и выполняет скрипт с IP-адреса 91.92.242.30. Этот адрес связан с вредоносной кампанией ClawHavoc и распространением стиллера Atomic macOS. В других случаях легитимный сайт клинических испытаний загружал код с auth-code-verif.beer, домена, связанного с вредоносной кампанией ClearFake.
Некоторые компоненты использовали домены-двойники, включая relay.claude-code.ink и vercel-find-skills.io. Последний отправляет имя хоста на внешний сервер.
Рекомендации по проверке компонентов
Навыки, связанные с финансами, непропорционально часто использовали домены высокого риска. На них приходилось 43% затронутых навыков, тогда как среди всех проиндексированных навыков их доля составляла 6%.
Авторы отчёта рекомендуют:
- рассматривать URL-адреса в компонентах агентов как программные зависимости;
- проверять домены с помощью разведки угроз и защитного DNS;
- отслеживать исходящие назначения и механизмы закрепления, такие как пользовательские юниты systemd или LaunchAgents в macOS;
- периодически пересматривать ранее одобренные компоненты.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
