Вредоносные пакеты npm и PyPI: атаки на цепочку поставок
Масштабное исследование вредоносного программного обеспечения с открытым исходным кодом, охватившее десятки тысяч пакетов из репозиториев npm и PyPI, вскрыло систематические атаки с использованием всё более изощрённых тактик. Злоумышленники годами оттачивали методы создания безобидных на первый взгляд библиотек, главная цель которых — незаметный сбор конфиденциальной информации, кража учётных данных и обеспечение скрытого внешнего управления скомпрометированными системами.
Облик безобидного пакета: маскировка и обман
Аналитики выявили повторяющуюся закономерность: вредоносные модули часто маскируются под популярные инструменты коммуникации. Названия многих фальшивых пакетов имитировали такие сервисы, как Discord и Telegram. Обманчивая логика срабатывала не только на уровне имени — злоумышленники внедряли вредоносный код в скрипты установки, имитируя поведение легитимных библиотек.
Что именно добывают: от метаданных до секретов Kubernetes
Значительная часть проанализированных пакетов занималась скрытым сбором и эксфильтрацией системной информации на внешние серверы. В состав передаваемых массивов входили:
- Пользовательские данные и списки установленных каталогов.
- Конфиденциальные конфигурационные файлы.
- Метаданные о самом пакете, локальные DNS-серверы и сведения о системных пользователях.
Особую тревогу вызывает охота за учётными данными контейнеризованных сред. Вредоносы активно сканировали директории, традиционно используемые для хранения чувствительной информации, в частности /var/run/secrets, похищая токены служебных учётных записей Kubernetes и другие секреты.
Арсенал невидимости: шифрование и скрытые каналы
Чтобы избежать обнаружения, злоумышленники широко применяли техники обфускации. Внедрённый код нередко маскировался с помощью кодирования base64 и шифрования XOR. Ключевым элементом скрытного управления стало использование легитимных API. Несколько пакетов превратили Telegram Bot API в командный центр (C2), упаковывая вредоносные команды внутрь зашифрованных слоёв.
Для ещё более незаметной передачи данных применялось туннелирование через DNS-запросы. Подобный трафик традиционно подвергается менее строгому мониторингу, чем прямой HTTP, что позволяло злоумышленникам долгое время оставаться незамеченными.
Как злоумышленники закрепляются в системе
Анализ выявил продуманные механизмы удержания доступа, адаптированные под конкретную операционную систему:
- Windows: Вредоносная нагрузка записывалась в каталоги вроде AppData, а для выполнения использовались вызовы Windows Management Instrumentation (WMI).
- macOS / Linux: Применялись классические шедулеры задач — cron-задания и агенты запуска LaunchAgents.
Кампания Shai-Hulud и троянизация цепочки поставок
Наиболее серьёзной угрозой, вскрытой в ходе исследования, стало проникновение в легитимные репозитории. Злоумышленники успешно компрометировали учётные записи мейнтейнеров, чтобы встраивать троянские версии в доверенные пакеты. Один из ярких примеров — кампания Shai-Hulud, в рамках которой были распространены вредоносные модификации популярного инструмента PostHog CLI. Такой вектор атаки многократно усиливает риски для всей цепочки поставок.
Отдельные экземпляры не ограничивались простым шпионажем. Один из пакетов, имитировавший легитимную библиотеку, скачивал и выполнял удалённый код динамически, собирая скрипты уже после инсталляции в обход стандартных мер безопасности. Другая группа вредоносов реализовала полноценную операцию по краже данных, нацелившись на локальные хранилища токенов из Discord, Chrome и других популярных платформ.
Стратегия защиты: доверие под контролем
Чтобы противостоять растущей сложности и изощрённости атак на экосистему open source, эксперты рекомендуют организациям действовать на опережение:
- Развернуть внутренние доверенные реестры для строгого контроля над используемыми пакетами.
- Проводить тщательный аудит зависимостей вне зависимости от их популярности и репутации мейнтейнера.
- Интегрировать данные threat intelligence для оперативного выявления и блокирования вредоносных модулей до того, как они попадут в production-среду.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
