Обнаружен поддельный Web3-акселератор, распространяющий программы для кражи информации и бэкдоры в системах Windows и macOS с помощью вредоносных npm-пакетов под предлогом предоставления бесплатных кредитов на искусственный интеллект (ИИ) для Anthropic Claude и Google Gemini, инструментов кодирования и аудитов безопасности.
«Инструменты доставляли вредоносное ПО для кражи информации и бэкдоры для машин macOS и Windows», — заявили исследователи Elastic Security Labs Цзя Юй Чань и Дэниел Степаник. «Операция также переупаковала легитимный агент кодирования для отправки запросов к моделям через контролируемые злоумышленниками сервисы, в то время как его инструменты аудита генерировали сфабрикованные результаты проверок безопасности».
Схема маскируется под акселератор венчурного капитала Web3 под названием Apex Accelerator, нацеленный на криптовалютные стартапы и их основателей. Операция отслеживается под кодовым названием REF8801. Ниже перечислены названия npm-пакетов, каждый из которых нацелен на машины Windows и macOS.
Хотя пакеты и связанные с ними репозитории GitHub больше недоступны, “@apexacc/cli” рекламировался как «ИИ-советник для основателей Web3», работающий на Claude Fable 5 и Gemini 2.5 Flash.
“@apexacc/audit”, с другой стороны, позиционировался как сервер Model Context Protocol (MCP), предоставляющий 18 инструментов безопасности для сканирования токенов, кошельков и смарт-контрактов. Оба пакета были опубликованы пользователем npm под именем “apexaccelerator” и связаны с учетной записью GitHub под названием “apexaccs” и организацией Apex Foundation.
Интересно, что сама кампания не нова. В конце июля 2026 года SafeDep подробно описал три других npm-пакета, связанных с той же операцией, которые распространяли стилер для macOS из семейства Atomic Stealer (также известного как AMOS).
Артефакты, собранные Socket, показывают, что Apex Foundation связана как минимум с двумя различными доменами с апреля 2026 года.
Согласно снимкам из Internet Archive от 19 марта 2026 года, фонд заявляет: «Apex Foundation предлагает инвестиции, гранты и партнерства на сумму 235 000 долларов США и связывает проекты с венчурными фондами, ангелами и частными инвестиционными компаниями, если они не соответствуют нашим критериям».
Публикации в X показывают, что акселератор обращался к разработчикам криптовалютных кошельков и инструментов рыночной аналитики для трейдеров с предложениями прямых инвестиций и инструкциями по запуску их инструмента комплексной проверки («@apexacc/cli»). В случае последнего npm-пакет был обнаружен в виде зашифрованного загрузчика вредоносного ПО, замаскированного под приложение Apple («com.apple.system.loader»).
«Группа также стремилась завоевать доверие, присутствуя на TOKEN2049 в Сингапуре и других очных мероприятиях, которые она проводила в прошлом», — заявили в Elastic. «Группа пытается создать видимость легитимности, появляясь на широко посещаемых конференциях, косвенно придавая проекту авторитет».
После установки ни один из npm-пакетов не обеспечивает обещанной функциональности. 18 инструментов безопасности пакета @apexacc/audit генерируют сфабрикованные результаты, в то время как тестовая оценка @apexacc/cli возвращает неподдерживаемую оценку вымышленного проекта.
Вместо этого их основная задача — распространять бэкдор для macOS под названием CloudSyncD и пользовательский стилер для Windows, который извлекает данные через Telegram. Платформо-специфичные исполняемые файлы извлекаются из релизов проектов на GitHub.
Оба пакета реализуют отдельный путь проверки для Windows и macOS, отправляя HTTP POST-запрос на «win32» или «darwin» по адресу «vrf.apexaccs[.]org/api/v1/vrf» для инициирования соответствующего следующего этапа. Цепочки заражения для Windows и macOS следующие:
Windows –
macOS –
Стоит отметить, что CloudSyncD был впервые задокументирован Jamf Threat Labs в конце прошлого месяца, где описывалось его распространение через поддельный установщик Zoom. Вредоносное ПО было обнаружено в дикой природе в середине сентября 2026 года.
«Его поведение демонстрирует, как вредоносное ПО для macOS продолжает двигаться в сторону нативных реализаций, защиты строк и путей выполнения, которые пытаются избежать записи полезных нагрузок на диск, при этом полагаясь на самый старый доступный метод: запрос пароля у пользователя», — заявили в Jamf.
Помимо развертывания стилера и бэкдора в зависимости от зараженной операционной системы, пакеты способны перехватывать и перенаправлять трафик больших языковых моделей (LLM) OpenRouter, а также регистрировать MCP-сервер под своим контролем в конфигурации агента жертвы.
«Эти изменения позволяют контролируемому злоумышленником API получать подсказки, историю разговоров, фрагменты кода и результаты работы инструментов, включенные в запросы LLM агента», — пояснили исследователи Elastic.
«MCP-сервер злоумышленника также может предоставлять инструкции, которые добавляются в подсказку агента, вместе с названиями инструментов, их описаниями и допустимыми входными данными, которые помогают модели решить, какие инструменты использовать и как их применять. Вместе эти механизмы дают злоумышленнику представление о предоставленных данных и способ повлиять на последующие действия агента».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
