🚛 Исследователи кибербезопасности обнаружили набор из 10 вредоносных пакетов npm, предназначенных для доставки вредоносного ПО для кражи информации, нацеленного на системы Windows, Linux и macOS.
🖥 «Вредоносное ПО использует четыре уровня обфускации для сокрытия своей полезной нагрузки, отображает поддельную CAPTCHA, чтобы казаться подлинным, идентифицирует жертв по IP-адресу и загружает упакованный в PyInstaller похититель информации размером 24 МБ, который собирает учетные данные из системных связок ключей, браузеров и служб аутентификации в Windows, Linux и macOS», — сообщил исследователь безопасности Socket Куш Пандья .
➡️ Пакеты npm были загружены в реестр 4 июля 2025 года и, в общей сложности, были загружены более 9900 раз.
deezcord.js
dezcord.js
dizcordjs
etherdjs
ethesjs
ethetsjs
nodemonjs
react-router-dom.js
typescriptjs
zustand.js
📚 Многоступенчатая операция по краже учетных данных проявилась в виде различных typosquatted пакетов, выдававших себя за популярные библиотеки npm, такие как TypeScript, discord.js, ethers.js, nodemon, react-router-dom и zustand.
🦠 После установки вредоносная программа выдаёт поддельный запрос CAPTCHA и отображает реалистичный вывод, имитирующий установку легитимных пакетов, создавая впечатление, что процесс установки идёт по плану. Однако в фоновом режиме пакет захватывает IP-адрес жертвы, отправляет его на внешний сервер («195.133.79[.]43»), а затем устанавливает основную вредоносную программу.
❗️ Будьте внимательны и осторожны!