#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Новая многоэтапная кампания стеганографического загрузчика использует техники выполнения в памяти для распространения вредоносного ПО Remcos RAT через фишинг, применяя сериализованный объект .NET Bitmap для сокрытия полезной нагрузки и избегания обнаружения. Кампания включает начальный загрузчик Optimax.dll, который динамически загружает дополнительные сборки .NET, в конечном итоге доставляя Remcos RAT через Внедрение в пустой процесс. Вредоносное ПО устанавливает механизмы закрепления и эксфильтрации данных, что указывает на широкую инфраструктуру, способную развертывать различные семейства ВПО.
-----

Выявлена новая многоэтапная кампания с использованием стеганографии, в рамках которой через фишинг распространяется вариант вредоносного ПО Remcos RAT. Основной механизм, применяемый в этой цепочке заражения, включает техники выполнения в памяти и стеганографию, что в совокупности снижает наличие артефактов на диске и затрудняет обнаружение традиционными средствами защиты.

ВПО использует встроенные ресурсы для доставки полезной нагрузки, в частности сериализованный объект .NET Bitmap для сокрытия и извлечения вредоносных данных. Этот подход усложняет статический анализ и повышает скрытность вредоносных компонентов. После извлечения встроенного ресурса — обозначенного как SR1 — раскрывается полезная нагрузка, функционирующая как загрузчик первого этапа под названием Optimax.dll. Эта 32-битная .NET DLL динамически загружает дополнительные .NET сборки напрямую из байтовых массивов в памяти, используя такие техники, как рефлексия и позднее связывание, полностью избегая взаимодействия с файловой системой.

После этого вредоносное ПО вызывает другую DLL в памяти, System Optimizer Ultimate.dll, которая действует как загрузчик второго этапа и выгружает финальный полезный груз — Remcos RAT. Этот полезный груз использует Внедрение в пустой процесс, маскируясь под имя процесса браузера по умолчанию, установленное пользователем.

Дальнейший анализ показывает, что ВПО создает свою копию в каталоге AppData Roaming со случайным именем и обладает возможностью удалять следы своих действий. Во время выполнения оно генерирует зашифрованный PowerShell-скрипт вместе с исполняемым файлом во временном каталоге. Механизм закрепления обеспечивается созданием записей реестра в разделах Run, winlogon.exe и userinit.

Remcos RAT, после достижения закрепления, начинает собирать данные с жертвы и использует мьютекс с именем Remcos_Mutex_Inj для подтверждения своей идентичности. Он эксфильтрует захваченные данные на сервер управления, идентифицируемый как 62.102.148.212. Кампания также демонстрирует потенциал для более широкого распространения, доставляя различные семейства ВПО, такие как Agent Tesla и Formbook, что указывает на модель загрузчика как услуга.

Более того, шаблоны имён файлов, связанные с этой атакой, связывают её с Индией, где Remcos RAT использовался в качестве полезной нагрузки. Широкий характер наблюдаемой инфраструктуры указывает на то, что она выполняет многогранную роль в экосистеме распространения ВПО, а не ограничивается одним источником угрозы.

#ParsedReport #CompletenessLow
18-06-2026

Inside Vidar’s ABE Bypass: From Memory Scanning to APC Injections

https://www.gendigital.com/blog/insights/research/inside-vidar-abe-bypass

Report completeness: Low

Threats:
Vidar_stealer
Remus
Lumma_stealer
Voidstealer
Apc_injection_technique

Victims:
Web browsers

ChatGPT TTPs:
do not use without manual check
T1055.004, T1057, T1106, T1518.001, T1555.003

IOCs:
File: 1
Hash: 1

Soft:
Chromium

Algorithms:
aes-256-gcm

Functions:
APC

Win API:
CryptProtectData, CryptProtectMemory, CryptUnprotectMemory, NtCreateProcessEx, OpenProcess, CreateDesktopA, NtQueryVirtualMemory, NtReadVirtualMemory, CreateRemoteThread, NtTestAlert, have more...

Links:
https://github.com/chromium/chromium/blob/cf5d502bcaedb22927e3829a18be1ff6d8b6f598/components/os\_crypt/async/common/encryptor.h#L93-L98
https://github.com/chromium/chromium/blob/cf5d502bcaedb22927e3829a18be1ff6d8b6f598/components/os\_crypt/async/common/encryptor.h#L132

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Vidar — это стиллер, использующий уникальные техники для обхода Приложения-Привязанного Шифрования (ABE) путем извлечения v20_master_key из памяти браузера. Он определяет целевые браузеры, создает процессы с помощью `NtCreateProcessEx` и захватывает снимки памяти, перечисляя соответствующие области с помощью `NtQueryVirtualMemory`. Затем Vidar использует Асинхронные Вызовы Процедур (APC) для внедрения кода для расшифровки, адаптируя методы в зависимости от наличия антивирусного программного обеспечения и постоянно эволюционируя свои стратегии, чтобы оставаться незамеченным при краже данных.
-----

Vidar, активно разрабатываемый стиллер, внедрил инновационные методы для обхода Приложения-Привязанного Шифрования (ABE), особенно направленные на извлечение v20_master_key из памяти браузера. Этот ключ имеет решающее значение для расшифровки любых данных, защищенных ABE и связанных с конкретными приложениями. Метод Vidar параллелен техникам, используемым другим ВПО, но он достигает своих целей через уникальный процесс. Вместо поиска ключа на диске — где он защищен множеством слоев шифрования — Vidar нацеливается на память браузера.

Процесс начинается с определения целевого браузера, что Vidar может сделать из уже запущенного экземпляра или путем создания нового. Он форкает существующий процесс браузера, не читая напрямую его память, а вместо этого захватывая статический снимок с помощью `NtCreateProcessEx`. Если целевой браузер не запущен, Vidar инициирует новую сессию браузера на изолированном рабочем столе, применяя определенные аргументы командной строки для оптимизации условий под свои тактики. После этого Vidar перечисляет память форкнутого процесса, используя `NtQueryVirtualMemory`, чтобы выявить соответствующие области памяти, подходящие под его критерии (выделенные, частные и либо доступные для чтения, либо доступные для чтения и записи).

Vidar использует характерный поиск по шаблону для зашифрованного v20_master_key с помощью предопределенной 32-байтовой сигнатуры, нацеленный на внутренние структуры узлов, в частности, в рамках фреймворка Encryptor::KeyRing браузера Chromium. При обнаружении потенциальных кандидатов на ключ вредоносная программа должна преодолеть проблему, заключающуюся в том, что расшифровка ключа возможна только в контексте браузера из-за защит CryptProtectMemory.

Для этого Vidar использует асинхронные вызовы процедур (APC) для внедрения кода в процесс живого браузера. Выбор метода внедрения зависит от наличия определенных антивирусных продуктов, таких как ESET или Bitdefender. Если один из них обнаружен, Vidar использует классический подход для постановки APC в очередь после создания приостановленного потока. Если они не обнаружены, он применяет специальный метод, использующий существующие потоки для немедленного выполнения APC без необходимости перевода потока в состояние оповещения.

При выполнении APC `CryptUnprotectMemory` расшифровывает ключ на месте. Vidar проверяет успешность расшифровки, повторно создавая дочерний процесс браузера и сравнивая значения до и после вызова APC. Затем он пытается использовать расшифрованный ключ для аутентификации записей, сканируя наличие байтовой последовательности, характерной для данных ABE. Если ключ успешно расшифровывает записи данных, Vidar сохраняет обновленное состояние ключа в памяти с помощью `CryptProtectMemory`. В противном случае, если расшифровка не удалась после нескольких попыток, он завершает работу и перезапускает браузер перед повторением всего процесса.

Используя инъекции APC, которые можно считать менее распространенными и потенциально скрытными, Vidar стремится обойти традиционные методы обнаружения, постоянно эволюционируя свои стратегии для обхода защит ABE и поддержания своей эффективности как стиллера.

#ParsedReport #CompletenessMedium
18-06-2026

15 Malicious JetBrains Plugins Stole AI API Keys from 70,000 Developers

https://www.stepsecurity.io/blog/jetbrains-malicious-plugins-ai-api-key-theft

Report completeness: Medium

Threats:
Supply_chain_technique
Credential_stealing_technique
Trufflehog_tool

Victims:
Software developers, Software development

Industry:
E-commerce

Geo:
Chinese, China

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1036, T1041, T1056, T1071.001, T1195.001

IOCs:
IP: 1
File: 8
Url: 2
Path: 1

Soft:
JetBrains, DeepSeek, OpenAI, Alibaba Cloud, macOS, Linux

Functions:
FindBugs, save, Gson

Languages:
java

#ParsedReport #ExtractedSchema

Classified images:
schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В июне 2026 года скоординированная атака на Цепочку поставок была направлена против JetBrains через 15 вредоносных плагинов, имитировавших инструменты разработки с искусственным интеллектом, которые внедряли код для кражи учетных данных. Эти плагины передавали API-ключи по незашифрованному HTTP на сервер управления, минимизируя обнаружение с помощью проверки дубликатов. Атака продемонстрировала эксплуатацию модели доверия, создавая модель дохода через функцию «стены пожертвований» и позволяя продолжать использование украденных ключей даже после удаления плагинов.
-----

В июне 2026 года скоординированная атака на Цепочка поставок была направлена против JetBrains, в ходе которой были использованы 15 вредоносных плагинов на его маркетплейс, маскировавшихся под инструменты разработки с искусственным интеллектом. Эти плагины, опубликованные под семью различными учетными записями поставщиков, утверждали, что предлагают такие функции, как проверка кода и генерация тестов, одновременно внедряя скрытый код для кражи учетных данных. Атака использовала фундаментальную модель доверия, поскольку разработчики обычно ожидают, что плагины из авторитетных маркетплейсов будут безопасными.

После ввода ключа API провайдера ИИ в плагины ключи незаметно эксфильтровались по незашифрованному HTTP на сервер управления в адресе 39.107.60.51, размещенном на Alibaba Cloud в Пекине, Китай. Каждый плагин был разработан с методом save(), который проверял формат ключа API и сохранял новые ключи для эксфильтрации, демонстрируя тщательный подход к избеганию обнаружения. Используя проверку дубликатов, злоумышленники минимизировали сетевой шум и риск обнаружения. Кроме того, отсутствие шифрования в процессе эксфильтрации данных делало перехват тривиальным для защитников.

Злоумышленники также включили в вредоносные плагины функцию «стены пожертвований», которая требовала от пользователей оплаты в обмен на получение рабочей API-ключа — вероятно, уже украденного у другого жертвы. Это позволяло злоумышленникам создавать самодостаточную модель доходов, одновременно обременяя владельцев оригинальных ключей нежелательными расходами на API.

Согласно отчетам по безопасности, JetBrains удалила все 15 плагинов со своего маркетплейса и навсегда заблокировала связанные учетные записи поставщика, а также внедрила удаленный механизм уничтожения для отключения расширений. Независимое расследование подтвердило, что C2-сервер оставался активным через три дня, что указывает на потенциальную продолжающуюся эксплуатацию украденных API-ключей и возможность перехода на другие платформы.

Меры обнаружения в сети для выявления скомпрометированных систем включают мониторинг исходящих HTTP-соединений от процессов IDE к IP-адресу C2, поиск идентификаторов вредоносных плагинов на диске, проверку сетевых журналов на наличие соединений с сервером C2 и аудит панелей управления провайдеров ИИ на предмет скомпрометированных ключей. Организациям рекомендуется отозвать и заменить затронутые API-ключи, заблокировать сервер C2 и использовать сканеры секретов для обеспечения отсутствия непреднамеренного раскрытия API-ключей в исходном коде.

Для упрощения взаимодействия между командами разработчиков такие инструменты, как Dev Machine Guard, могут проводить инвентаризацию расширений IDE в более широком масштабе, позволяя командам безопасности мгновенно выявлять затронутые машины без необходимости полагаться на самоотчеты разработчиков. Этот подход также обеспечивает видимость в различных IDE, тем самым повышая возможности обнаружения аналогичных угроз Цепочка поставок в будущем.

#ParsedReport #CompletenessHigh
20-06-2026

Fortibleed: Anatomy of the FortiBleed campaign based on the server that the attackers themselves left exposed.

https://zenox.ai/en/fortibleed-anatomy-of-the-fortibleed-campaign-based-on-the-server-that-the-attackers-themselves-left-exposed/

Report completeness: High

Actors/Campaigns:
Fortibleed

Threats:
Hashcat_tool
Password_spray_technique
Impacket_tool
Credential_harvesting_technique
Kerberoasting_technique
As-rep_roasting_technique
Cyberstrikeai_tool
Hackbrowserdata_tool

Victims:
Fortinet fortigate organizations, Microsoft sql server hosts, Active directory domains

Industry:
Logistic, E-commerce

Geo:
Japan, Vietnam, Taiwan

CVEs:
CVE-2026-24858 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- fortinet fortianalyzer (le7.0.15, le7.2.11, <7.4.10, <7.6.6)
- fortinet fortimanager (le7.0.15, le7.2.11, <7.4.10, <7.6.6)
- fortinet fortinac-f (<7.6.6)
- fortinet fortiproxy (le7.0.22, le7.2.15, le7.4.12, le7.6.4)
- fortinet fortiweb (le7.4.11, le7.6.6, le8.0.3)
have more...

TTPs:
Tactics: 4
Technics: 0

IOCs:
File: 17
Hash: 1

Soft:
Active Directory, Telegram, Microsoft SQL Server, MSSQL, MySQL, curl, Chromium, Anthropic, OpenAI, Ollama, have more...

Algorithms:
rc4, md5, ed25519, aes-256, pbkdf2, sha256, aes

Languages:
typescript, python

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания FortiBleed, раскрытая в июне 2026 года, включала масштабную операцию по краже учетных данных, нацеленную на межсетевые экраны Fortinet FortiGate, затронувшую 73 932 уникальных URL-адреса в 194 странах. Атакующие использовали структурированный четырехэтапный подход, включающий массовое сканирование, извлечение учетных данных, сложное взламывание хешей с использованием таких инструментов, как Hashtopolis, и перемещение внутри компании в сети, применяя автоматизацию и искусственный интеллект для повышения эффективности. Эта кампания завершилась значительными компрометациями административного доступа в нескольких организациях из-за критического сбоя в операционной безопасности, который привел к разглашению конфиденциальных файлов в интернете.
-----

Кампания FortiBleed включает кражу учётных данных, нацеленную на межсетевые экраны Fortinet FortiGate.

Операция выявила 318 файлов из раскрытого командного пункта, содержащих информацию о методах атак.

Оно охватывало 73 932 уникальных URL-адреса межсетевого экрана в 194 странах, что указывает на деятельность крупного масштаба.

Атакующие использовали четырехэтапный подход: массовое сканирование, извлечение учетных данных, взлом хешей и перемещение внутри компании.

Начальное сканирование включало региональные целевые списки и несколько одновременных потоков доступа, что дало положительный результат.

Сбор учетных записей использовал инструменты веб-автоматизации для захвата данных сеанса.

Был создан конвейер данных для обработки захваченных учетных данных с целью облегчения эксплуатации.

Для взлома хешей использовалась распределённая архитектура с Hashtopolis и арендованными GPU-ресурсами.

Злоумышленники управляли задачами взлома через бота Телеграм, поддерживающего несколько типов хешей, таких как NetNTLMv2 и Kerberos.

Инфраструктура позволяла нацеливаться не только на устройства Fortinet, но и на различные базы данных и сети.

Тактики постэксплуатации использовали Python-скрипты для действий во внутренней сети, таких как распыление пароля против Active Directory.

Расширенная проверка учётных записей пользователей и аудит привилегий продемонстрировали высокий уровень автоматизации в атаках.

Атакующие также использовали инструмент на базе искусственного интеллекта CyberStrike для автоматизации задач тестирования на проникновение.

Сбой в области операционной безопасности (OPSEC) привёл к раскрытию критически важных инструментов и ключей доступа из-за наличия файлов, доступных в интернете.

В результате кампании был получен несанкционированный доступ к тысячам межсетевых экранов и зафиксированы нарушения безопасности в нескольких доменах Active Directory.

Рекомендуемые меры защиты включают предположение о компрометации устройств FortiGate, подвергшихся воздействию, и обеспечение многофакторной аутентификации (MFA).

Дополнительные меры включают ротацию административных учетных данных и мониторинг аномальной активности, указывающей на доступ через бэкдор.

Дело FortiBleed иллюстрирует изменяющийся ландшафт киберугроз, подчеркивая интеграцию ИИ в атаки.

#ParsedReport #CompletenessMedium
17-06-2026

Five npm Packages That Hide a Windows Binary Dropper

https://safedep.io/procwire-npm-windows-dropper-campaign/

Report completeness: Medium

Threats:
Bitsadmin_tool
Motw_bypass_technique
Lolbin_technique

Victims:
Software supply chain, Windows users

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1036, T1036.005, T1059.001, T1059.003, T1059.007, T1082, T1105, T1140, T1195.001, have more...

IOCs:
File: 13
Url: 3
Email: 2
Path: 1
Command: 3
Domain: 1

Soft:
Node.js, curl

Algorithms:
xor

Functions:
createServer

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Выявлена сложная кампания кибератак, нацеленная на системы Windows, в рамках которой задействованы пять вредоносных пакетов npm, среди которых ключевыми являются procwire@1.3.0 (дропер бинарных файлов Windows) и routecraft@4.2.0 (включающий procwire). Атака использует хук preinstall в procwire для выполнения скрытых полезной нагрузки через XOR-кодированные URL-адреса C2 и применяет различные методы загрузки и выполнения для уклонения от обнаружения. Тактики обфускации, используемые в описаниях пакетов и механизмах выполнения, подчеркивают необходимость мониторинга поведения установки, а не полагаться на репутацию пакетов для обнаружения.
-----

Сложная кампания атак с использованием пяти пакетов npm была запущена 16 июня 2026 года, нацеленная на системы Windows. Двумя основными оружием являются пакеты procwire@1.3.0, который является загрузчиком для Windows, и routecraft@4.2.0, маскирующийся под клон Express. Три дополнительных пакета выполняют вспомогательные функции: bytecraft (утилита XOR), endpointmap (кодирует URL-адреса управления (C2)) и staticlayer (компонент серверной части для загрузчика).

Процесс эксплуатации начинается с хука предварительной установки в procwire во время выполнения npm install, который декодирует конечную точку C2, хранящуюся в виде массивов байтов, закодированных с помощью XOR, из endpointmap, что позволяет загружать и выполнять полезную нагрузку без обнаружения. Применяются различные методы произвольного выполнения бинарных файлов в Windows, включая Node.js HTTPS, curl.exe и bitsadmin для загрузки; прямой запуск, cmd.exe и PowerShell для выполнения.

Архитектура вредоносного ПО позволяет ему избегать обнаружения путем обхода защитных механизмов Mark-of-the-Web и маскировки своих полезной нагрузки под легитимные обновления программного обеспечения, такие как msedge_update и chrome_installer. Каждый пакет npm содержит убедительные описания для интеграции в экосистему npm. Конструкция URL-адреса C2 является сложной, использует шифрование XOR и имя пакета в качестве секретного ключа, что затрудняет анализ функциональности статическими методами.

Дроппер инициирует загрузку полезной нагрузки через HTTP GET-запрос, имитирующий механизмы доставки Microsoft, и отключает проверку TLS для предотвращения обнаружения. Методы резервного копирования обеспечивают успешную загрузку независимо от средств защиты. Поддельный альтернативный поток данных Zone.Identifier используется для обхода предупреждений SmartScreen.

Пакет staticlayer работает как сервер для самостоятельного размещения и распределения полезной нагрузки, требуя от клиента совпадения с User-Agent загрузчика для ограничения воздействия. Эта кампания демонстрирует передовые тактики уклонения, распределяя вредоносные функции по незаметным компонентам, что подчеркивает необходимость мониторинга поведения установки, а не полагаться исключительно на репутацию пакетов для обнаружения.

#ParsedReport #CompletenessHigh
19-06-2026

Mastra Attack Targets Crypto, Password Managers, Authenticators, and Zapier

https://opensourcemalware.com/blog/mastra-npm-malware

Report completeness: High

Actors/Campaigns:
Axios_compromise
Lazarus
Mastra_compromise

Threats:
Supply_chain_technique
Typosquatting_technique
Clickfix_technique

Victims:
Cryptocurrency, Password management, Authentication, Software development, Automation

Industry:
Petroleum

Geo:
Dprk

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1008, T1012, T1027, T1033, T1036.005, T1057, T1059.001, T1059.007, T1070.004, have more...

IOCs:
File: 10
Email: 2
Url: 2
IP: 2
Path: 2
Command: 1
Registry: 1
Domain: 2
Hash: 2
BrowserExtension: 146
Coin: 20

Soft:
Mastra, LastPass, Bitwarden, 1Password, Dashlane, KeePass, NordPass, macOS, Linux, systemd, have more...

Wallets:
metamask, coinbase, keplr, rabby, coin98, math_wallet, core_wallet, exodus_wallet, solflare_wallet, auro_wallet, have more...

Crypto:
binance, casper, multiversx, aptos, bitcoin, dogecoin, solana, polkadot

Algorithms:
base64, prng, sha256

Functions:
Get-StartApps, Get-AppxPackage, Get-Process, Get-ItemProperty

Languages:
powershell

Platforms:
cross-platform

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Атака Malstra подчеркивает растущий тренд в киберугрозах, особенно в части эксплуатации уязвимостей в Цепочке поставок программного обеспечения. Скомпрометированная учетная запись разработчика в организации Mastro NPM привела к распространению более 140 вредоносных пакетов npm, включая версию библиотеки `dayjs`, зарегистрированную с использованием метода тайпсквоттинга, которая использовала хук postinstall для загрузки сложного кроссплатформенного бэкдора. Этот бэкдор позволял осуществлять эксфильтрацию данных из браузеров и атаковал различные расширения, выходящие за рамки криптовалютных кошельков, что указывает на сдвиг в фокусе атак.
-----

Недавняя атака Malstra подчеркивает значительные тенденции в киберугрозах, особенно направленные на уязвимости в цепочке поставок программного обеспечения. Этот инцидент включал компрометацию организации Mastro NPM, где злоумышленник захватил контроль над неаккаунтом разработчика и опубликовал более 140 вредоносных пакетов npm. Метод имитировал более раннюю атаку, приписываемую группе Lazarus Group, подчеркивая использование аналогичных методов работы.

В основе атаки лежало внедрение пакета с опечаткой в названии (`easy-day-js`), который являлся безобидной копией популярной библиотеки `dayjs`. Вредоносная версия этого пакета содержала хук postinstall, который запускал двухэтапную полезную нагрузку. Первый этап, выполняемый файлом `setup.cjs`, действовал как загрузчик, получая более сложную вторую стадию с сервера управления (C2). Этот имплант второй стадии представляет собой кроссплатформенный бэкдор, способный атаковать системы Windows, macOS и Linux, а также извлекать конфиденциальные данные из браузеров, включая историю и информацию из 166 различных идентификаторов расширений для криптовалютных кошельков и средств безопасности.

Выполнение атаки было облегчено путем обхода проверки доверенных издателей npm с использованием учетных данных старого сопровождающего. Вместо явных модификаций кода пакета злоумышленник добавил одну новую зависимость во множество манифестов. Такой скрытный подход обеспечил то, что при установке или обновлении `easy-day-js` вweaponized версия загружалась незаметно, поскольку разрешение версий по диапазону caret в npm не требовало от разработчиков подтверждения наличия вредоносного номера версии.

Кроме того, функциональность закладки позволяла ей проводить фэнгерпринтинг среды хоста, обеспечивать постоянство в системе, извлекать историю браузеров и выполнять произвольный код под контролем злоумышленника. Особого внимания заслуживает обширный список целевых расширений, который включает различные менеджеры паролей и MFA-аутентификаторы, что отличается от предыдущих кампаний, в основном ориентированных на криптовалютные кошельки.

Критическим фактором этой атаки стало отсутствие проверки происхождения вредоносных пакетов, что в корне позволило злоумышленникам обойти механизмы безопасности npm. Что касается паттернов, атака на Mastra демонстрирует растущую тенденцию расширения угроз за пределы традиционных целей с фокусом на более широкий спектр уязвимостей программного обеспечения, связанных с управлением учетными данными и интеграциями, такими как Zapier.

#ParsedReport #CompletenessMedium
17-06-2026

Mastra npm Supply Chain Attack: 140+ Packages Backdoored via easy-day-js Typosquat

https://www.stepsecurity.io/blog/mastra-npm-packages-compromised-using-easy-day-js

Report completeness: Medium

Threats:
Supply_chain_technique
Typosquatting_technique
Miasma

Victims:
Mastra ecosystem, Software development environments, Artificial intelligence development environments, Cloud infrastructure environments

Industry:
Software_development

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1036.005, T1070.004, T1071.001, T1078, T1105, T1195.001

IOCs:
File: 9
IP: 4
Url: 1

Soft:
Mastra, OpenAI, Anthropic, Node.js

Algorithms:
xor, base64

Languages:
javascript, typescript

Links:
https://github.com/mastra-ai/mastra/issues/18045

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
17 июня 2026 года организация @mastra в npm подверглась атаке на Цепочку поставок через вредоносный пакет easy-day-js, являющийся тайпсквотом библиотеки dayjs, что затронуло более 140 зависимостей с совокупным числом загрузок 1,1 миллиона. Обфусцированный дроппер выполнил второй этап полезной нагрузки с сервера C2, эксплуатируя механизм разрешения зависимостей npm для автоматического включения в новые установки, и применял техники уклонения для устранения следов криминалистический анализ. ВПО целенаправленно атаковало конфиденциальные переменные среды, подчеркивая уязвимости в безопасности Цепочка поставок внутри экосистемы npm.
-----

17 июня 2026 года организация @mastra в npm подверглась значительной атаке на цепочку поставок, связанной с внедрением вредоносного пакета easy-day-js в более чем 140 его зависимостей. Этот пакет является тайпсквотом широко используемой библиотеки для работы с датами dayjs, а его последняя версия содержала зашифрованный дроппер, запускаемый после установки. После установки этот дроппер выполнял вторую стадию полезной нагрузки, загружаемой с сервера управления, за которой следовало самоуничтожение для стирания любых следов своего присутствия. Затронутые пакеты имеют совокупную еженедельную загрузку более 1,1 миллиона, что представляет существенный риск для пользователей, установивших любые пакеты @mastra в то время.

Основная работа по подготовке атаки была проведена 16 июня, когда злоумышленник опубликовал пакет easy-day-js@1.11.21 — чистую версию легитимной библиотеки, чтобы придать себе достоверности. Эта версия, которая дублировала метаданные dayjs, затем была указана как зависимость в пакетах @mastra. Впоследствии была загружена вредоносная версия 1.11.22, использующая метод разрешения зависимостей npm для обеспечения того, чтобы любые новые установки автоматически включали скомпрометированную версию.

После того как злоумышленник реализовал свой план в 01:01 UTC, он использовал скомпрометированные учетные данные для повторной публикации затронутых пакетов @mastra, тем самым выполнив массовую инъекцию зависимости с бэкдором во всей экосистеме. Сам дроппер применял сложные техники уклонения, включая обход проверки TLS-сертификатов, что позволяло устанавливать связь с самоподписанными сертификатами. Он передавал карту затронутых установок в контролируемую злоумышленником директорию, отсоединялся от процесса и выполнялся без вывода информации, видимой пользователю. Кроме того, дроппер немедленно удалял свой основной скрипт после выполнения, устраняя первичные доказательства для криминалистический анализ.

Второй этап полезной нагрузки был настроен на загрузку исполняемых файлов с указанного C2-сервера во время выполнения, с целью захвата чувствительных переменных окружения, таких как API-ключи и другие учетные данные, распространенные в развертываниях Mastra. Первоначальные тесты этого ВПО показали, что инструменты анализа во время выполнения, такие как Harden Runner, используемый в GitHub Actions, успешно блокировали ожидаемую полезную нагрузку, запрещая исходящие вызовы к вредоносным IP-адресам C2, тем самым предотвращая любую утечку учетных данных.

Выбор библиотеки dayjs для тайпсквоттинга и обширная обфускация, применённая в коде дроппера, демонстрируют изощрённость атаки, что делает её особенно сложной для обнаружения и снижения рисков разработчиками при анализе зависимостей. Инцидент подчёркивает фундаментальные уязвимости в безопасности Цепочки поставок, расширяя дискуссию о превентивных мерах в экосистеме npm, таких как внедрение инструментов видимости в реальном времени и проактивных проверок для выявления скомпрометированных пакетов.