Исследователи в области кибербезопасности раскрыли подробности давней кампании вредоносного ПО в цепочке поставок npm, которая доставляет на скомпрометированные хосты программы для кражи информации и трояны удаленного доступа (RAT). Кампания получила кодовое название MALFEX от CloudSEK и Checkmarx. Предполагается, что эта деятельность является работой одиночного злоумышленника, который с августа 2023 года опубликовал 12 пакетов, восемь из которых были помечены как вредоносные. Список выявленных вредоносных пакетов приведен ниже. В общей сложности эти пакеты были загружены 40 767 раз. Из них 37 419 загрузок приходится на “function-flag”, что делает его основным драйвером этой активности. Пакет был впервые опубликован в июле 2024 года. Последняя версия была выпущена 4 августа 2025 года. Описание проекта для пакета npm содержит приветственное сообщение на португальском языке: “Этот проект был создан с большой любовью и самоотдачей командой Malfex, владелец которой — Муризада”. Три пакета, “tlxbnhd”, “tldriver” и “mxdriver”, действуют как загрузчики Overlord RAT, а вредоносный код запускается через хуки жизненного цикла для загрузки и запуска исполняемого файла Windows. Второй набор пакетов npm, таких как “img-to-native”, требует “cdn-img-fetch” для получения и выполнения исполняемого файла Go, который затем загружает стилер Node.js, способный собирать конфиденциальные данные. В “function-flag” присутствует пост-установочный хук, который запускает JavaScript-полезную нагрузку для загрузки полезной нагрузки с удаленного сервера. Каждая версия пакета загружала полезную нагрузку из разных мест. Пакет “function-color” сам по себе не содержит полезной нагрузки, но указывает “function-flag” в качестве зависимости. “В версии 1.7.3, текущей последней версии, скрипт postinstall запускает example.js, который вызывает функцию пакета ASCII art с шрифтом Bloody”, — говорится в сообщении Checkmarx. “Это значение шрифта запускает скрытую процедуру, которая загружает node.exe с cdnzona.discloud.app, хоста на бразильском сервисе хостинга приложений, сохраняет его в %APPDATA%\node.exe и запускает его с скрытым окном”. Интересно, что Overload RAT был замечен в двух других кампаниях с июля 2026 года: одна из них включала эксплуатацию уязвимостей WordPress (CVE-2026-63030 и CVE-2026-60137, также известных как wp2shell), а другая — кампания на macOS, в ходе которой поддельный установщик Zoom использовался для развертывания RAT. Кампания с поддельным установщиком Zoom имеет тактические совпадения с предполагаемой группировкой угроз, связанной с Северной Кореей, известной как UNK_DeadDrop. “Оператор говорит на португальском, коммиты git имеют смещение -0300, описание одного репозитория на португальском языке, а отображаемое имя и адрес электронной почты на GitHub указывают на распространенный бразильский псевдоним”, — заявили в CloudSEK. “Ничто из этого не является аргументом в пользу того, что кампания нацелена на Бразилию. Это лишь элемент атрибуции к языковому пространству самого оператора и не более того. Доставка осуществляется через npm и Discord, оба являются глобальными; таргетинг на втором этапе является оппортунистическим”.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
