NodeJS-стиллер MaaS атакует разработчиков ИИ через GitHub и Polygon

Кампания стиллера NodeJS использует ClickFix, SmartLoader и блокчейн Polygon для атаки на разработчиков ИИ

Апрель 2026 года. Netskope Threat Labs раскрыли новую активную угрозу — информационный стиллер NodeJS, распространяемый по модели Malware-as-a-Service (MaaS). Кампания нацелена на пользователей и разработчиков технологий искусственного интеллекта, применяя сложную комбинацию социальной инженерии, многоэтапной доставки и механизмов обхода на основе блокчейна. Под ударом оказались ключевые сектора — финансовые услуги, банковская сфера и высокотехнологичные компании в Северной Америке, Азии и Южной Европе.

Социальная инженерия и техника ClickFix

Для первоначального проникновения злоумышленники активно используют ClickFix — метод социальной инженерии, заставляющий жертву самостоятельно запустить вредоносный скрипт под видом исправления или необходимого действия. Они имперсонируют популярные репозитории GitHub, связанные с ресурсами ИИ, внедряя вредоносные файлы во внешне безобидные подкаталоги или манипулируя ссылками для загрузки под предлогом легитимного программного обеспечения. Такой подход резко снижает порог подозрительности у технически подкованной аудитории.

SmartLoader: многоэтапный загрузчик с обфускацией Lua

Операция опирается на сложный загрузчик, получивший имя SmartLoader. Он отличается двухэтапной цепочкой доставки: вредоносный код разворачивается в две различные фазы, что усложняет детектирование как на этапе проникновения, так и в процессе выполнения. Сама полезная нагрузка поставляется внутри ZIP-архива, содержащего:

• два бинарных файла — lua51.dll и compiler.exe;
• пакетный скрипт Application.bat;
• текстовый файл gc.txt.

Ключевая роль отведена lua51.dll, которая функционирует как среда выполнения LuaJIT. Благодаря интерфейсу Foreign Function Interface (FFI) вредоносный Lua-код, хранящийся в безобидном на первый взгляд gc.txt, получает возможность напрямую вызывать функции Windows API. Такой подход не только даёт гибкость в обходе защит, но и радикально снижает число автоматических предупреждений: текстовый файл редко вызывает подозрения у систем, анализирующих объекты изолированно.

При выполнении пакетный скрипт читает и исполняет содержимое gc.txt, компилируя вредоносные команды на лету с помощью обфускатора Prometheus. Это позволяет скрыть истинную природу кода и уйти от традиционных сигнатурных и поведенческих механизмов обнаружения.

EtherHiding: динамическое управление C2 через блокчейн Polygon

Одной из наиболее примечательных черт кампании стало использование метода EtherHiding для разрешения адреса C2-сервера. Злоумышленники не хардкодят IP или домен управляющего сервера, а закладывают логику обращения к смарт-контракту в блокчейне Ethereum Polygon. Это позволяет динамически менять адрес C2 во время выполнения, просто корректируя смарт-контракт без каких-либо изменений в самом вредоносном коде. Жертва, сама того не подозревая, взаимодействует с блокчейном, извлекая актуальные координаты центра управления.

Этапы атаки: от разведки до закрепления

После запуска SmartLoader действует последовательно, собирая критически важную информацию о заражённой системе:

• отправляет запрос к сервису ip-api.com для получения географических данных устройства;
• выполняет скриншот экрана жертвы с использованием GDI API;
• разрешает адрес C2 через смарт-контракт Polygon (EtherHiding) и устанавливает защищённое соединение;
• загружает второй Lua-скрипт Dist.lua, который продолжает работу по тем же шаблонам шифрования и связи с C2.

Вторая стадия открывает возможности для дальнейшего сбора учётных данных, клавиатурного шпионажа или кражи токенов доступа — всё зависит от команд, поступающих от операторов MaaS-платформы.

Риски для цепочек поставок и будущее угроз

Особая тревога связана с профилем жертв. Разработчики ИИ и DevOps-специалисты обладают привилегированным доступом к исходному коду, облачным учётным записям, сертификатам и внутренним инструментам. Их компрометация способна запустить каскад инцидентов — от кражи интеллектуальной собственности до атак на цепочку поставок программного обеспечения.

«Стратегический фокус на этих высокоценных целях может способствовать более широким угрозам, включая атаки на цепочку поставок программного обеспечения», — подчёркивают эксперты Netskope Threat Labs.

Лаборатория продолжает мониторинг развивающейся MaaS-угрозы и связанных с ней тактик, в том числе механизмов обхода на базе блокчейна. Кампания демонстрирует, как злоумышленники умело комбинируют доверие к открытому коду, гибкость скриптовых сред и децентрализованные технологии, чтобы оставаться незамеченными и сохранять контроль даже после обнаружения части инфраструктуры.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.