- Регистрация
- Окт 16, 2022
- Сообщения
- 1,233
- Реакции
- 214
- Награды
- 2
Злоумышленник, преследующий финансовые цели, был связан с разработкой и распространением основанной на JavaScript (JS) программы для кражи информации, известной как PhantomRaven, через реестр пакетов npm.
«Вероятно, разработчик создал вредоносное ПО, используя обширную языковую модель (LLM), — такая оценка была сделана с высокой степенью достоверности на основе подробных комментариев, кода-заглушки и статистических моделей анализа токенов», — говорится в анализе, опубликованном на этой неделе подразделением CrowdStrike по противодействию враждебным действиям.
В конце октября 2025 года Koi Security и DCODX обратили внимание на PhantomRaven , участвовавшую в кампании по краже учетных данных, в рамках которой более 100 вредоносных пакетов были загружены в npm для кражи токенов аутентификации, секретов CI/CD и учетных данных GitHub с компьютеров разработчиков.
В ходе атаки на цепочку поставок программного обеспечения эти пакеты использовались в качестве прикрытия для получения удаленной динамической зависимости (RDD) с внешнего сервера, чтобы сами библиотеки не были обнаружены средствами безопасности.
После установки вредоносное ПО, встроенное в удаленную зависимость, сканирует среду разработки на наличие адресов электронной почты, собирает информацию о среде CI/CD, формирует системный отпечаток, включая публичный IP-адрес, и передает результаты на сервер, контролируемый злоумышленником.
Злоумышленник, преследующий финансовые цели, был связан с разработкой и распространением основанной на JavaScript (JS) программы для кражи информации, известной как PhantomRaven, через реестр пакетов npm.
«Вероятно, разработчик создал вредоносное ПО, используя обширную языковую модель (LLM), — такая оценка была сделана с высокой степенью достоверности на основе подробных комментариев, кода-заглушки и статистических моделей анализа токенов», — говорится в анализе, опубликованном на этой неделе подразделением CrowdStrike по противодействию враждебным действиям.
В конце октября 2025 года Koi Security и DCODX обратили внимание на PhantomRaven , участвовавшую в кампании по краже учетных данных, в рамках которой более 100 вредоносных пакетов были загружены в npm для кражи токенов аутентификации, секретов CI/CD и учетных данных GitHub с компьютеров разработчиков.
В ходе атаки на цепочку поставок программного обеспечения эти пакеты использовались в качестве прикрытия для получения удаленной динамической зависимости (RDD) с внешнего сервера, чтобы сами библиотеки не были обнаружены средствами безопасности.
После установки вредоносное ПО, встроенное в удаленную зависимость, сканирует среду разработки на наличие адресов электронной почты, собирает информацию о среде CI/CD, формирует системный отпечаток, включая публичный IP-адрес, и передает результаты на сервер, контролируемый злоумышленником.
Он также оснащен функциями сбора информации о ходе выполнения, текущей дате и времени, именах пользователей и адресах электронной почты из конфигураций Git/npm, а также переменных среды CI/CD для GitHub Actions, GitLab CI, Jenkins и CircleCI.
Последние данные CrowdStrike показывают, что этот злоумышленник активен с ноября 2022 года и утверждает, что является охотником за уязвимостями, получившим вознаграждение от не менее чем девяти организаций из технологического, розничного и гостиничного секторов.
Компания, занимающаяся кибербезопасностью, заявила, что не обнаружила информации, украденной с помощью вредоносного ПО, в хранилищах журналов украденной информации, что указывает на то, что «оператор, вероятно, использует программу для кражи информации исключительно для выявления возможностей получения вознаграждения за обнаружение уязвимостей».
Было замечено, что как минимум две разные учетные записи npm, поддерживаемые оператором, отправляли пакеты npm, содержащие PhantomRaven. На момент написания этой статьи обе учетные записи npm недоступны.
- jpdhellonpm1 - transform-jsbi-to-bigint
- jpd15 - sort-imports-es6-autofix
«В августе 2025 года злоумышленник заявил об обнаружении уязвимости удаленного выполнения кода (RCE) через опубликованный им вредоносный пакет npm», — отметила исследователь безопасности Мэдди Стюарт. «Злоумышленник объяснил, что он скомпрометировал целевую машину и выполнил свой скрипт предварительной установки, что якобы позволило ему осуществить RCE».
Кроме того, появились доказательства того, что злоумышленник пытался распространить в репозитории Python Package Index (PyPI) пакеты, содержащие код для программы кражи информации, которая имеет сходство с PhantomRaven.
Вероятное использование большой языковой модели (LLM) для генерации вредоносного ПО еще раз подчеркивает, как злоумышленники все чаще внедряют эту технологию в свою деятельность, сокращая время и усилия, необходимые для проведения подобных кампаний.
«Большинство преступников [...] арендуют общедоступные инструменты или используют собственное вредоносное ПО; однако этот злоумышленник, вероятно, разработал собственное программное обеспечение PhantomRaven для компрометации активов компании, а затем использовал эти компрометации в качестве рычага для получения вознаграждения от авторитетных программ раскрытия информации», — заявила компания CrowdStrike.
Источник
