Microsoft попередила, що зловмисники сховали шкідливе програмне забезпечення для крадіжки криптоактивів всередині публічних npm-пакетів, створюючи новий ризик для розробників, криптоінвесторів та користувачів гаманців.
Microsoft Threat Intelligence заявила, що два скомпрометовані npm-пакети, [email protected] та [email protected], «зловживали репозиторіями Hugging Face як інфраструктурою для ексфільтрації даних». Компанія повідомила, що пакети розгортають троян віддаленого доступу, або RAT, який може збирати натискання клавіш, скріншоти та облікові дані криптогаманців.
Npm — це публічний реєстр програмного забезпечення, який використовується розробниками JavaScript для створення програм та веб-інструментів. Коли розробник встановлює скомпрометований пакет, шкідливе ПЗ може тихо працювати на пристрої та відстежувати конфіденційні файли, паролі або дані гаманця.
Кампанія виділяється тим, що зловмисники використовували Hugging Face, надійну платформу для проектів штучного інтелекту та машинного навчання, для переміщення викрадених даних. Такий маршрут може зробити трафік менш підозрілим, ніж пряме підключення до невідомого кримінального сервера.
Для криптокористувачів це створює пряму проблему безпеки. Машина розробника може зберігати браузерні гаманці, приватні ключі, файли мнемонічних фраз, ключі API бірж, токени GitHub та облікові дані хмарних сервісів. Якщо зловмисники зберуть ці дані, вони можуть атакувати гаманці, репозиторії коду та торгові системи.
Пов'язані публікації crypto.news показують, що атаки на ланцюг поставок програмного забезпечення залишаються актуальною проблемою для криптосектору. У звіті від 25 травня йшлося, що кампанія шкідливого ПЗ TrapDoor поширилася через понад 34 шкідливі пакети в екосистемах npm, PyPI та Rust.
Ця кампанія була спрямована на розробників криптоактивів та ШІ шляхом крадіжки даних гаманців, ключів API, хмарних облікових даних та SSH-доступу за допомогою фальшивих інструментів для розробників. Вона також показала, як зловмисники тепер націлюються на людей та системи, що використовуються для створення криптододатків, а не лише на кінцевих користувачів.
У березні Crypto.news також повідомляв, що Slow Fog попереджала розробників про шкідливі релізи Axios. Скомпрометовані версії завантажували шкідливе ПЗ plain-crypto-js та наражали крипторозробників на кросплатформні RAT і викрадені облікові дані через npm.
Попередження Microsoft слідує за іншим звітом про шкідливе ПЗ від її команд безпеки. 26 травня Microsoft повідомила, що зловмисники використовували скомпрометовані результати пошуку та деякі взаємодії з чат-ботами ШІ для поширення фальшивих завантажень утиліт для ПК, які встановлювали шкідливе ПЗ для майнінгу на GPU.
Ця кампанія була спрямована на користувачів з потужними відеокартами, включаючи геймерів та ентузіастів апаратного забезпечення. Microsoft повідомила, що шкідливе ПЗ зловживало ScreenConnect, утилітами Microsoft .NET та фальшивими завантаженнями для таких інструментів, як CrystalDiskInfo та HWMonitor, для запуску криптомайнерів.
Останнє попередження npm привертає увагу до базових кроків безпеки. Розробникам слід перевіряти нещодавно встановлені пакети, видаляти підозрілі залежності, змінювати скомпрометовані облікові дані та перевіряти активність гаманця. Криптокористувачам слід уникати зберігання мнемонічних фраз на підключених пристроях та перевіряти кожну транзакцію гаманця перед підписанням.
