Злоумышленники атаковали криптостартапы через вредоносные пакеты npm

Elastic Security Labs обнаружила кампанию, замаскированную под Web3-ускоритель и нацеленную на криптовалютные стартапы и их основателей. Злоумышленники использовали вредоносные пакеты npm, репозитории с бэкдорами, инструменты для программирования и услуги аудита информационной безопасности. Пакеты @apexacc/cli и @apexacc/audit содержали вредоносный код с момента публикации, а не были скомпрометированы позднее.

Вредоносные пакеты и фиктивный аудит

@apexacc/cli переупаковывал легитимного агента для программирования Oh My Pi, добавляя бутстрап-код. Он получал команды, заданные злоумышленниками, регистрировал контролируемый ими MCP-сервер и перенаправлял через их инфраструктуру трафик больших языковых моделей, помеченный как OpenRouter. Это создавало потенциальную возможность для запуска локальных инструментов в ответ на поддельные ответы модели. Пакет также загружал исполняемые файлы Bun для конкретной платформы.

Оба пакета обращались к vrf.apexaccs[.]org/api/v1/vrf за инструкциями по выполнению. В Windows JavaScript-код извлекал команды с полями для исполняемого файла, аргументов и самой команды, а затем запускал PowerShell через временные файлы VBScript с помощью wscript.exe. Пакет аудита также пытался повысить привилегии через UAC, добавить исключение в Defender и изменить настройки Smart App Control.

Восемнадцать заявленных инструментов аудита формировали результаты на основе жёстко заданных, случайных, отформатированных по входным данным или полученных из даты значений, а не проводили реальный анализ. Удалённый сервис оценки также возвращал неподдерживаемые оценки для вымышленных проектов.

Цепочка заражения macOS

В цепочке для macOS бинарные файлы верификатора, написанные на Rust, получали команды и загружали архив установщика с семейством вредоносного ПО CloudSyncD. Этот универсальный Mach-O-модуль запрашивал пароль администратора, проверял его с помощью dscl, сохранял в ~/.config/cloudsync/data.json и запускал встроенный полезный код с повышенными привилегиями.

CloudSyncD собирал сведения об аппаратном обеспечении и операционной системе, идентифицировал хосты по IOPlatformUUID, шифровал данные алгоритмом ChaCha и связывался с C2-сервером по HTTPS. Модуль мог получать и выполнять сырые Mach-O-файлы или сжатые полезные нагрузки.

Цепочка заражения Windows

Цепочка для Windows загружала PowerShell из дополнительной инфраструктуры, контролируемой злоумышленниками, и скачивала загрузчики на базе PyInstaller. Загрузчики обходили UAC, используя поведение объекта отладки AppInfo, проверяли наличие виртуализации и запускали загрузчик на Golang. Тот пытался обойти AMSI и ETW, расшифровывал шеллкод и выполнял его в процессе.

Итоговый стилер собирал:

• системные данные;
• содержимое буфера обмена;
• списки процессов;
• профили Wi-Fi;
• снимки экрана;
• файлы;
• учётные данные браузеров, файлы cookie и историю;
• данные кошельков и VPN;
• другие сведения о приложениях.

Для доступа к ключам браузеров стилер применял методы их восстановления и использовал DPAPI. При необходимости он обращался к базам данных через Volume Shadow Copy, а затем выгружал архивы через Telegram.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.