За несколькими компрометациями популярных программных библиотек стоит одна и та же группировка, связанная с властями КНДР, — об этом говорится в отчете подразделения Amazon Threat Intelligence.
Речь о готовых блоках кода, которые разработчики по всему миру не пишут сами, а подключают к своим программам из общего хранилища NPM — крупнейшего склада таких заготовок для языка JavaScript. Когда злоумышленник подменяет содержимое одной такой заготовки, вредоносный код автоматически расходится по всем продуктам, которые ее используют. Специалисты по кибербезопасности отслеживают эту группировку под названиями SAPPHIRE SLEET, STARDUST CHOLLIMA, BlueNoroff, CageyChameleon и Alluring Pisces.
Пострадали четыре библиотеки — typo-crypto в марте 2025 года, debug и chalk в сентябре того же года, а в марте 2026-го тот же почерк проявился в атаке на axios, инструмент для обращения программ к интернет-сервисам, который скачивают более 100 млн раз в неделю. Каждый раз злоумышленники методами социальной инженерии получали доступ к учетной записи человека, отвечающего за развитие библиотеки, после чего выпускали от его имени обновление с вредоносным кодом. Заражение получали все, чьи системы автоматически подтягивали свежую версию. Масштаб такой атаки Amazon иллюстрирует данными фирмы Wiz Research, по которым история с debug и chalk за два часа затронула примерно каждую десятую облачную среду. Взломав несколько востребованных библиотек, группировка одновременно получает доступ к тысячам чужих систем, и для хакеров с финансовой мотивацией это гораздо выгоднее, чем ломать организации поодиночке.
Вывод о едином авторстве Amazon делает со средней степенью уверенности, опираясь на совпадение приемов и общие адреса командных серверов, с которых хакеры управляют зараженными машинами. Самую раннюю атаку в компании считают пробной, поскольку число загрузок оказалось невелико. Вредоносный файл маскировался под известную библиотеку с похожим названием и срабатывал только при получении определенного значения на входе, после чего подгружал вторую часть вредоноса с сервера злоумышленников и запускал ее по-разному в Windows, macOS и Linux.
Отдельный раздел отчета посвящен смене хакерского почерка. Вредоносную логику всё чаще дробят между несколькими безобидными по отдельности библиотеками — одна хранит зашифрованный блок под видом настроек, вторая содержит расшифровщик, третья подгружает и запускает готовую нагрузку. ИИ-детекторы проверяют библиотеки поодиночке и потому ничего не замечают. Группировки готовы месяцами вести полезный проект и вести себя как добросовестные разработчики, чтобы однажды «потратить накопленное доверие». Вместо примитивной маскировки применяют полноценное шифрование, причём ключ никогда не лежит внутри самой библиотеки, а запрашивается у сервера в момент запуска, так что даже с исходным кодом на руках аналитик не может расшифровать вредонос. Код к тому же проверяет, не изучают ли его в тестовой среде, — смотрит на имя пользователя, время работы системы, историю локальных файлов и облачные метаданные.
Генеративные модели ИИ, по оценке Amazon, ломают привычные признаки вредоносной библиотеки, ведь раньше подделку выдавали корявый язык, скудная документация и очевидные копипасты, а теперь злоумышленник генерирует тысячи строк связного кода с убедительным описанием, правдоподобной историей правок и вымышленными личностями разработчиков. Появился и новый вектор — слопсквоттинг, когда атакующий регистрирует имя библиотеки, которой не существует и которую ИИ-ассистент попросту выдумал, и ждет разработчика, который ее подхватит. В компании ожидают, что в библиотеки начнут встраивать скрытые инструкции для проверочных ИИ-систем, спрятанные в комментариях или описании, — они должны убедить автоматический сканер пометить вредоносный код как безопасный.
Ранее Microsoft сообщала, что та же SAPPHIRE SLEET охотится за криптоактивами пользователей macOS, выдавая себя за рекрутеров и предлагая под видом технического собеседования установить поддельное обновление Zoom.
