Открытые экосистемы npm и PyPI снова стали мишенью для злоумышленников. Исследователи кибербезопасности выявили координированную кампанию, приписываемую группе Lazarus, которая с помощью фейковых вакансий и тестовых заданий заставляет разработчиков устанавливать вредоносные пакеты. Атака ориентирована на кражу данных, в том числе криптовалютных активов, и демонстрирует высокий уровень подготовки, характерный для государственной APT-группы.
Вредоносные npm и PyPI пакеты в кампании «graphalgo»
Новая операция, получившая условное название graphalgo, по оценке экспертов активна с мая 2025 года. По данным ReversingLabs, злоумышленники публикуют в репозиториях npm и Python Package Index (PyPI) пакеты, которые первоначально не содержат вредоносного кода, но в последующих версиях получают скрытую нагрузку.
Показательный пример — пакет bigmathutils в npm: его первая, безопасная версия набрала более 10 000 загрузок, что позволило сформировать доверие у сообщества. Уже во второй версии в пакет был встроен вредоносный компонент. Аналогичная тактика использовалась и с рядом других библиотек, опубликованных в npm и PyPI под вымышленными аккаунтами.
Социальная инженерия и фейковые вакансии в блокчейн‑секторе
Кампания начинается с тщательно подготовленной социальной инженерии. Злоумышленники создают фейковую компанию, например Veltrix Capital, якобы работающую в сфере блокчейн‑проектов и криптовалютных бирж. Для придания легитимности регистрируется домен, создаётся организация на GitHub и размещаются репозитории с тестовыми заданиями на Python и JavaScript.
Разработчиков находят через LinkedIn, Facebook и тематические форумы, включая Reddit. Кандидатам предлагается выполнить задание: клонировать репозиторий и запустить проект локально. При этом вредоносный код не содержится в самом тестовом проекте — он попадает в систему косвенно, через зависимости из npm и PyPI, которые автоматически устанавливаются при сборке.
Удалённый троян, MetaMask и токен‑базированное C2‑взаимодействие
После установки вредоносных зависимостей на машину разработчика загружается модуль RAT (Remote Access Trojan) — троян для удалённого управления. Этот модуль периодически связывается с командно‑контрольным сервером (C2), получает и выполняет команды: сбор системной информации, перечисление файлов и процессов, создание и удаление каталогов, загрузка и выгрузка файлов.
Особенность этой кампании — токен‑базированный механизм аутентификации C2-трафика. При первой регистрации заражённая система отправляет на сервер информацию об устройстве и получает уникальный токен. Далее все запросы к C2 сопровождаются этим токеном, что затрудняет подделку трафика и анализ инфраструктуры. Аналогичный подход ранее наблюдался в операциях северокорейской группы Jade Sleet (TraderTraitor, UNC4899) в 2023 году.
Функциональность RAT указывает и на финансовую мотивацию: вредонос проверяет наличие установленного криптовалютного расширения MetaMask в браузере жертвы, что свидетельствует о попытках похищения криптоактивов и доступа к кошелькам.
Новые вредоносные npm‑пакеты: Bada Stealer и XPACK ATTACK
duer-js и шпион Bada Stealer
Параллельно специалисты JFrog обнаружили ещё один опасный npm‑пакет — duer-js, опубликованный пользователем luizaearlyx. Библиотека позиционировалась как утилита для «улучшения видимости консольного окна», однако внутри скрывался инфостилер Bada Stealer.
Bada Stealer собирает Discord‑токены, пароли, cookies и данные автозаполнения из браузеров Google Chrome, Microsoft Edge, Brave, Opera, Яндекс.Браузер, а также сведения о криптокошельках и системе в целом. Информация отправляется на Discord‑webhook и дублируется в файловый сервис Gofile. Дополнительно пакет загружает второй компонент, который закрепляется в автозапуске Discord Desktop, умеет сам обновляться и напрямую похищает данные из клиента, включая привязанные платёжные методы.
XPACK ATTACK: вымогательство через npm install
Отдельного внимания заслуживает кампания XPACK ATTACK, впервые зафиксированная 4 февраля 2026 года инициативой OpenSourceMalware. Все задействованные npm‑пакеты были загружены пользователем dev.chandra_bose и эксплуатировали нестандартный подход: вместо кражи данных злоумышленники вымогали криптовалюту прямо во время установки пакетов через npm install.
Вредоносный код злоупотребляет HTTP‑статусом 402 Payment Required, формируя видимость «легитимной платной подписки» за доступ к пакету. Установка блокируется до тех пор, пока разработчик не переведёт 0.1 USDC/ETH на указанный кошелёк. Параллельно собираются имена пользователей GitHub и отпечатки устройств. При отказе платить установка завершается ошибкой спустя более пяти минут, маскируя атаку под обычное платное ограничение, а не активность вредоносного ПО.
Продолжение атак на npm и PyPI подчёркивает, что цепочка поставок ПО стала ключевой целью для киберпреступников и государственных групп. Разработчикам и компаниям рекомендуется ужесточить контроль за зависимостями: использовать приватные зеркала и allow‑list пакетов, проверять историю версий и авторов, применять сканеры для анализа артефактов сборки, а также быть крайне осторожными с «тестовыми заданиями» и репозиториями, полученными по ссылке от рекрутеров. Повышение осведомлённости о таких схемах существенно снижает риск компрометации и помогает защитить как корпоративные системы, так и личные криптовалютные активы.
