- Известни библиотеки като Аксиос и Мастра бяха компрометирани чрез отвлечени акаунти на поддържащи устройства, което засегна милиони седмични изтегляния.
- Нападателите са използвали сложни кукички след инсталиране да предоставят междуплатформени задни врати и да крадат чувствителни идентификационни данни от среди за разработчици.
- Заплашителни лица, включително тези, свързани с Севернокорейски групи, все повече експлоатират доверието в зависимостите от отворен код, вместо да търсят софтуерни недостатъци.
- Експертите по сигурността препоръчват деактивиране на скриптове за жизнен цикъл и прилагане на строг контрол на изхода от мрежата, за да се смекчи въздействието на заразените пакети.
Разработчиците откриват по трудния начин, че съвременен пейзаж на развитие все повече се превръща в минно поле, където една-единствена забравена парола може да компрометира хиляди проекти. Светът на технологиите напоследък наблюдава огромен скок в инцидентите във веригата за доставки, което доказва, че дори най-доверените инструменти, с които разполага разработчикът, могат да бъдат обърнати срещу него за минути, без никой да забележи, докато не стане твърде късно.
Настоящите данни показват, че сме свидетели на фундаментална промяна в начина, по който действат хакерите, тъй като те се отдалечават от традиционните експлойти, за да се фокусират върху сигурност на веригата за доставкиЧрез проникване в екосистемите на популярни платформи като npm, нападателите могат да разпространяват злонамерен код едновременно до милиони системи, превръщайки легитимни софтуерни актуализации в механизъм за доставяне на високо ниво на злонамерен софтуер и инструменти за кражба на данни.
Екосистемата Mastra и фишинг капанът на LinkedIn
В средата на 2026 г. рамката Mastra, широко използвана за изграждане на приложения с изкуствен интелект, стана жертва на координирана кампания, която започна с... сложна атака по социално инженерствоСътрудник получил подвеждащо съобщение в LinkedIn, което в крайна сметка довело до компрометиране на неговия npm токен за публикуване. Атакуващият не губи време, публикувайки над 140 злонамерени версии на пакети под пространството от имена Mastra, достигайки до потребителска база, която генерира над милион изтегляния всяка седмица.
Това, което прави този инцидент особено коварен, е фактът, че самият код на Mastra остана недокоснат, тъй като зловредният софтуер беше скрит вътре новодобавена зависимост наречен easy-day-js. Този пакет беше клонинг на популярна библиотека за дати, проектиран да изглежда напълно безобиден за всеки разработчик, който набързо преглежда дървото на зависимостите. Използвайки плаващ диапазон от версии, нападателят гарантира, че всяка нова инсталация автоматично ще изтегли заразената версия, като по този начин ефективно отвори задна вратичка към работната станция или CI/CD runner-а на разработчика.
Изследователските групи са отбелязали леки несъответствия в общия брой на засегнатите артефакти, като броят им варира от 116 до 145 пакета в зависимост от времето на анализа. Това подчертава нестабилния характер на тези кампании, при които нападателите могат бързо да публикуват, променят и изтриват доказателства, което кара екипите по сигурността да се затрудняват да картографират пълния обхват на експозицията, преди следите да бъдат прикрити.
Отвлечен Axios: Връзката plain-crypto-js
Ситуацията стана още по-мрачна, когато Axios, основен HTTP клиент за JavaScript разработчици, беше засегнат от подобен проблем. събитие за отвличане на акаунтВерсии 1.14.1 и 0.30.4 бяха пуснати със скрита зависимост, наречена plain-crypto-js, която функционираше като кросплатформен троянски кон за отдалечен достъп (RAT). Този зловреден софтуер е специално проектиран за инвентаризиране на системи, установяване на постоянство и извличане на чувствителни данни от Windows, macOS и Linux среди.
Анализатори по сигурността от Unit 42 и ESET свързват компрометирането на Axios с хакер, известен като Сапфирена киша или UNC1069, група, за която се твърди, че е свързана със севернокорейски интереси. Тази връзка предполага силен финансов мотив, тъй като зловредният софтуер е съдържал специализирани модули за откриване и атакуване на разширения на портфейли с криптовалута. Това е класически случай на високорисков дигитален шпионаж, скрит на видно място в инструментите, които използваме за изграждане на основни уеб приложения.
Техническото изпълнение беше плашещо ефикасно, често завършвайки пълния цикъл на инфекцията в под петнадесет секундиСлед стартирането на полезния товар, инсталаторът извърши агресивно почистване, изтривайки злонамерените инсталационни файлове и замествайки модифицирания манифест с чиста примамка. Това ниво на криминалистична осведоменост означава, че разработчик може да погледне папката си node_modules само минути след инфекцията и да не види абсолютно нищо необичайно.
Техническа механика на куката след инсталиране
Основният двигател за тези атаки е npm postinstall hook-ът, функция, която позволява на пакетите да изпълняват скриптове автоматично след инсталирането. Въпреки че е предназначен за легитимни задачи за конфигуриране, тя се превърна в широко отворена врата за атакуващите. И в двата случая, Mastra и Axios, скриптът след инсталиране стартира обфусциран зареждащ файл, който деактивира проверката на TLS сертификати, позволявайки на зловредния софтуер да комуникира със сървъри за командване и контрол, без да бъде маркиран от стандартните инструменти за мрежова проверка.
След като вторият етап от зловредния софтуер бъде извлечен, той често се появява като отделен процес, което означава, че злонамереният код би продължава да работи във фонов режим дори след като процесът на инсталиране на npm е приключил. В Windows системи е наблюдавано, че зловредният софтуер отвлича легитимни двоични файлове като PowerShell, за да изпълнява своите скриптове, докато в macOS и Linux той използва услуги на системно ниво, за да гарантира, че ще оцелее след рестартиране, което прави простото изтриване на пакета неефективно.
Освен че крадяха криптовалути, тези импланти бяха способни да събират историята на браузъра и да търсят... идентификационни данни на доставчика на облачни услуги или SSH ключове. За технологичен стартъп това е кошмарен сценарий, при който локалната среда на разработчика се превръща във вход за нападател, който може да се придвижи странично към производствени сървъри или частни хранилища за код. Оказва се, че сигурността на вашата компания може да зависи само от това напълно непознат да не е имал лош ден с управлението на паролите си.
Укрепване на тръбопровода срещу бъдещи заплахи
Стандартните инструменти за сигурност, като npm одит, често не успяват да уловят тези инциденти в ранните им етапи, защото разчитат на бази данни с известни уязвимости които могат да изостават от активните кампании за зловреден софтуер. За да защитят наистина една организация, екипите трябва да се насочат към по-проактивни защити, като например стартиране на инсталации с флага –ignore-scripts по подразбиране. Тази проста стъпка предотвратява изпълнението на кукички след инсталиране, които са основният вектор за повечето атаки върху веригата за доставки, базирани на npm.
Друга критична стратегия включва преминаване към модел с нулево доверие за зависимостите. Чрез използване замразени заключващи файлове и частни регистри, компаниите могат да създадат буферна зона, където новите версии на пакети се анализират за поведенчески аномалии, преди да бъдат допуснати до основния процес на изграждане. Ограничаването на мрежовия изход от CI/CD runners само до одобрени домейни може също да прекъсне комуникационната верига, от която зловредният софтуер се нуждае, за да извлече вторичните си полезни товари или да открадне откраднати токени.
В крайна сметка отговорността пада както върху поддържащите, така и върху потребителите на софтуер с отворен код да затегнете контрола за достъп и внедряване на многофакторно удостоверяване, което не може да бъде заобиколено от токени за автоматизация. С развитието на индустрията, третирането на всяка библиотека на трета страна като потенциален риск, а не като надежден актив, е единственият начин за справяне с ерата, в която самата верига за доставки се е превърнала в едно от най-ефективните оръжия в арсенала на хакера.
