Троянизированный npm-пакет развертывает RAT через Telegram
В npm обнаружен троянизированный пакет martinez-polygon-clipping-tony с RAT и управлением через Telegram
В экосистеме npm зафиксирован очередной пример attack chain через легитимный канал распространения: вредоносный пакет martinez-polygon-clipping-tony оказался троянизированным форком известной библиотеки. По данным отчета, он был впервые опубликован 7 мая 2026 года и содержал postinstall-hook, который загружал исполняемый файл для Windows с контролируемого злоумышленником IP-адреса 172.86.73.132.
Загруженный файл разворачивал Remote Access Trojan (RAT), управляемый через сообщения в Telegram. Этот инструмент предоставлял злоумышленнику широкий набор возможностей: от удаленного выполнения команд оболочки до захвата скриншотов, работы с файлами и выполнения произвольного кода на Python.
Как работал вредоносный пакет
После установки пакет запускал цепочку действий, ориентированную на заражение машин под Windows. RAT взаимодействовал с оператором через Telegram, а сообщения фильтровались по заданному идентификатору чата. Такой подход позволял злоумышленнику удаленно управлять зараженными системами и связывать команды с конкретной жертвой.
Отмечается, что атакующий использовал поддельное электронное письмо, связанное с легитимным разработчиком исходной библиотеки. Кроме того, различные версии загрузчика выпускались одна за другой, что указывает на низкий уровень сложности инструмента, но при этом — на постоянные тесты и доработки.
Функциональность RAT
Финальные варианты загрузчика, по данным отчета, работали корректно, хотя при выполнении команд оболочки сразу после загрузки наблюдались условия гонки. При запуске RAT создавал мьютекс, чтобы предотвратить одновременный запуск нескольких экземпляров, и очищал определенные системные пути, скрывая следы активности.
Набор возможностей вредоносной программы включал:
- удаленное выполнение команд оболочки;
- непрерывный захват скриншотов;
- загрузку и выгрузку файлов;
- выполнение произвольного кода на Python;
- механизм самоуничтожения для стирания следов.
Для получения снимков экрана использовалась библиотека Pillow, а для манипуляций с файлами на стороне жертвы предусматривался структурированный набор команд. Возможность передавать произвольный код на Python фактически давала операторам расширенный контроль над системой, включая чтение и запись в файловую систему.
Технические детали реализации
Исполняемый файл, упакованный с помощью PyInstaller, имел размер около 17 МБ. Для сокрытия конфиденциальной информации использовалась комбинация методов кодирования: base64 и сжатие zlib, примененные к строковым литералам.
По сути, RAT опирался на собственный пакет с логикой управления, включая специальные модули для базовой функциональности и интеграции с Telegram. Бот был настроен на обработку команд и ответов на основе хеша, специфичного для машины, полученного из идентификационной информации жертвы. Это позволяло выполнять точечные операции сразу на нескольких зараженных системах.
Почему это важно для рынка и безопасности цепочки поставок
История с martinez-polygon-clipping-tony демонстрирует, насколько опасны атаки на цепочку поставок в репозиториях программного обеспечения. Злоумышленники используют доверие к популярным open source-экосистемам, чтобы скрытно распространять вредоносные компоненты под видом легитимных пакетов.
В данном случае вредоносный пакет сочетал в себе скрытность, широкие возможности удаленного доступа и надежный канал управления через Telegram. Как отмечается в отчете, быстрое развитие вредоносных инструментов и их адаптация к защите подчеркивают необходимость постоянной бдительности в практиках обеспечения безопасности программного обеспечения.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
