#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания PhantomSub использует 101 вредоносный пакет npm, созданный на базе Baileys, для подписки жертв на управляемые злоумышленниками каналы и группы WhatsApp без их согласия. Пакеты нацелены на каналы, связанные с мошенничеством, продажей аккаунтов, бот-сервисами, премиальными приложениями, играми и продвижением в социальных сетях, часто отключая уведомления о подписках, чтобы скрыть активность и искусственно раздуть количество подписчиков.
-----

Кампания PhantomSub включает 101 вредоносный пакет npm, которые злоупотребляют реализацией неофициального открытого API WhatsApp — Baileys — для подписки жертв на каналы и группы WhatsApp без их согласия. Пакеты были разработаны для искусственного увеличения количества подписчиков или участников каналов, связанных с мошенничеством, продажей аккаунтов, бот-сервисами, премиальными APK, игровыми ресурсами и продвижением в социальных сетях. К 28 сентября 2026 года как минимум 16 пакетов были удалены с npm, а семь других были удалены до того, как их код мог быть проанализирован.

Кампания использует три варианта реализации. Девятнадцать пакетов извлекают идентификаторы целевых каналов во время выполнения из GitHub, что позволяет операторам изменять цели без публикации новых версий пакетов. Шестьдесят пакетов содержат идентификаторы каналов непосредственно в открытом виде, тогда как 14 кодируют большинство идентификаторов с помощью Base64. Пакет с именем `neuralwhatsapp` вместо этого использует захардкоженный код приглашения WhatsApp, `0029VbBv6cUInlqLc5H0Kw0K`, для определения целевого канала. Логика подписки ВПО реализована с помощью Baileys и нацелена на несколько каналов или групп WhatsApp.

Среди зафиксированных каналов в основном преобладают индонезийские каналы, рекламирующие аккаунты TikTok, аккаунты в игре Mobile Legends: Bang Bang, бот-скрипты, услуги по созданию ботов, премиальные приложения и услуги продвижения в социальных сетях. Некоторые каналы содержат ссылки на дополнительные группы или каналы WhatsApp, что указывает на возможное распространение через более широкую воронку продаж и мошенничества. По имеющимся данным, в рамках кампании на устройствах жертв отключаются уведомления по подписанным каналам, что снижает вероятность того, что пользователи заметят несанкционированные подписки, при этом увеличивая видимое количество подписчиков каналов.

Данные пакеты не направлены в первую очередь на кражу учетных данных, API-токенов, криптовалюты или иных данных. Их воздействие заключается в несанкционированной активности в учетных записях, экспозиции мошеннического или потенциально незаконного коммерческого контента, а также в искусственном усилении каналов, контролируемых злоумышленниками. Поскольку код не содержит типичного поведения, направленного на кражу учетных данных, и не использует обширное обфускацию, традиционные средства обнаружения ВПО могут не распознать его. Организациям следует проверять зависимости npm на наличие пакетов на базе Baileys, блокировать известные вредоносные имена пакетов и связанные с ними URL GitHub, идентификаторы каналов и коды приглашений, а также избегать зависимостей, запрашивающих доступ к учетным записям для приватного обмена сообщениями.