Тайпсквоттинг в NPM: вредоносные пакеты собирали данные о разработчиках
Тихая охота на разработчиков: typosquatting-кампания в NPM собрала цифровые профили 20 000 жертв
В июне 2026 года ландшафт угроз пополнился примечательной операцией: злоумышленник опубликовал в репозитории Node Package Manager (NPM) несколько typosquatted-пакетов, искусно замаскированных под легитимные инструменты, связанные с искусственным интеллектом и безопасностью. Вредоносные модули имитировали названия известных организаций — Anthropic, OpenAI и Aspect Security — и были загружены порядка 20 000 раз. Масштаб инцидента достаточен, чтобы представлять серьёзную опасность для отдельных разработчиков и корпоративных сред разработки.
Необычный издатель и масштаб атаки
Наиболее тревожным аспектом стало предполагаемое авторство пакетов. По имеющимся данным, они были опубликованы основателем израильского стартапа в области кибербезопасности, что резко контрастирует с типичным поведением злоумышленников, предпочитающих анонимные временные учётные записи. Этот факт не только усложняет атрибуцию, но и указывает на возможное наличие у оператора глубоких технических знаний и стратегического замысла.
Механика заражения: infostealer в post-install script
Основная функция пакетов классифицируется как infostealer — они не предназначались для развёртывания Remote Access Trojans (RAT) или иного персистентного вредоносного ПО. Их задача заключалась в прямой exfiltration конфиденциальной информации на подконтрольный URL. Вредоносная нагрузка была хитро спрятана внутри чрезвычайно длинного post-install script, тогда как безобидные файлы утилит на TypeScript служили приманкой. Благодаря этому поверхностный аудит не выявлял ничего подозрительного.
Процесс установки отличался высокой устойчивостью: любые неудачные попытки сетевого соединения на этапе exfiltration продуманно обрабатывались так, чтобы не нарушать штатную инсталляцию пакета. Подобная «отказоустойчивость» позволяла вредоносному коду выглядеть легитимным и оставаться незамеченным, обеспечивая непрерывную работу скрытого beacon.
Данные под прицелом: собираемый профиль
При установке полезная нагрузка собирала обширный массив системных и пользовательских данных, формируя детальный цифровой портрет разработчика и, потенциально, его команды. Перечень извлекаемой информации включал:
- имя хоста и имя пользователя операционной системы;
- конфигурацию Git (в том числе адреса электронной почты);
- сведения о проекте и его истории коммитов;
- комментарии к открытым ключам SSH;
- конфигурации cloud platforms;
- корпоративный DNS-суффикс.
Примечательно, что фактические учётные данные в перечень не входили. Это указывает на стратегию, ориентированную скорее на сбор разведывательной информации (intelligence) для будущих атак, нежели на немедленную кражу паролей. Сложность методики — в частности, способность различать разных разработчиков за общим компьютером по их Git-историям и маскировка exfiltration-трафика под обычную telemetry — свидетельствует о высоком уровне подготовки операции.
Мотивы: разведка как плацдарм для supply chain-атак
Собранные сведения способны проложить путь для значительно более опасных сценариев. «Подобная информация могла бы стать фундаментом для целевого phishing и последующих атак на цепочку поставок (supply chain)», — резюмируется в отчёте. По всей видимости, злоумышленник стремился создать массив данных, пригодный для коммерциализации — возможно, с целью картирования сред разработки или раннего обнаружения уязвимостей в цепочках поставок. Учитывая характер полученных сведений, подобное использование представляет собой тревожную перспективу для тысяч команд по всему миру.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
