Атака на цепочку поставок Mastra AI: как North Korean hackers похитили данные через npm

В последние дни внимание кибербезопасности сосредоточено на масштабной атаке на цепочку поставок проекта Mastra AI. По данным Microsoft, за инцидентом стоит северокорейская хакерская группировка Sapphire Sleet (также известная как BlueNoroff), специализирующаяся на атаках на финансовые организации. Злоумышленники сумели скомпрометировать учётную запись поддерживающего разработчика в репозитории npm и использовали её для распространения вредоносного ПО через более чем 140 пакетов в пространстве имён @mastra.

Атака началась с взлома аккаунта "ehindero", который обладал правами на публикацию пакетов в экосистеме Mastra. Киберпреступники загрузили обновления для 140+ пакетов, которые содержали скрытую зависимость "easy-day-js". Это название является подменой легитимной библиотеки dayjs — популярного инструмента для работы с датами и временем в JavaScript. Когда разработчики устанавливали такие пакеты, вредоносный скрипт автоматически запускался через post-install хук, отключал проверку TLS-сертификатов и подключался к командно-контрольным серверам (C2) злоумышленников.

Как развивалась атака: от одной учётной записи до глобальной угрозы

После компрометации учётной записи "ehindero" атакующие получили возможность публиковать обновления для всех пакетов в @mastra. Каждое обновление включало вредоносный модуль "easy-day-js", который маскировался под известную библиотеку dayjs. Этот метод называется typosquatting — созданием пакетов с названиями, похожими на легитимные, чтобы пользователи устанавливали их по ошибке.

Когда разработчик выполнял команду npm install, система автоматически запускала post-install скрипт, встроенный в "easy-day-js". Этот скрипт выполнял несколько действий: отключал проверку TLS-сертификатов, что позволяло перехватывать зашифрованный трафик, и устанавливал соединение с C2-инфраструктурой злоумышленников. Далее загружался второй этап полезной нагрузки — кроссплатформенный информационный вор, предназначенный для Windows, Linux и macOS.

Механизм заражения: как вредоносное ПО проникает и скрывается

После установки пакета вредоносный скрипт выполнял цепочку действий, направленных на кражу данных. Первым шагом становилось отключение проверки TLS-сертификатов, что позволяло атакующим выполнять атаки "человек посередине" (MitM) даже при использовании защищённых соединений. Это критически важно, так как многие приложения полагаются на TLS для защиты передаваемых данных.

Затем скрипт связывался с C2-серверами, откуда загружался второй этап полезной нагрузки. Этот модуль представлял собой кроссплатформенный вор, способный собирать данные с различных операционных систем. Он анализировал установленные приложения, запущенные процессы, историю браузера и проверял наличие 166 криптовалютных кошельков в браузерных расширениях, включая MetaMask, Phantom, Coinbase Wallet и Binance Wallet.

Персистентность и сокрытие: как вредоносное ПО удерживается в системе

Для обеспечения долговременного присутствия в заражённой системе злоумышленники использовали различные методы персистентности в зависимости от операционной системы. В Windows вредоносный модуль прописывался в ключи реестра Run, что позволяло автоматически запускаться при старте системы. В macOS использовались LaunchAgents — аналогичные механизмы запуска приложений при входе пользователя в систему.

На Linux-системах атакующие применяли systemd-сервисы, что обеспечивало автоматический запуск вредоносного ПО при загрузке системы. Такой подход позволяет угрозе оставаться активной даже после перезагрузки устройства. Кроме того, вредоносное ПО использовало различные техники сокрытия, такие как запуск в виде скрытых процессов, что затрудняет обнаружение стандартными средствами мониторинга.

Какие данные похищались и почему это критично

Основной целью атаки было хищение чувствительных данных, включая учётные данные, API-ключи, аутентификационные токены и криптовалютные кошельки. Вор собирал информацию о хосте, включая данные о браузере, установленных приложениях и запущенных процессах. Это позволяет злоумышленникам получать доступ к аккаунтам пользователей, корпоративным сетям и финансовым ресурсам.

Особое внимание уделялось криптовалютным кошелькам. Вор проверял наличие 166 различных расширений для браузеров, что свидетельствует о целенаправленной атаке на пользователей, работающих с цифровыми активами. Похищение криптовалютных кошельков может привести к значительным финансовым потерям, так как средства в криптовалюте часто не подлежат возврату.

Почему эта атака стала возможной: уязвимости в цепочке поставок

Атака на Mastra AI демонстрирует растущую угрозу со стороны цепочек поставок в экосистеме разработки. Злоумышленники использовали легитимные механизмы публикации пакетов в npm для распространения вредоносного ПО. Это возможно благодаря тому, что разработчики доверяют пакетам, загружаемым из официальных репозиториев.

Кроме того, метод typosquatting позволяет злоумышленникам маскироваться под известные библиотеки, что увеличивает вероятность установки вредоносных пакетов. Это особенно опасно в случае проектов с открытым исходным кодом, где пользователи часто полагаются на популярные библиотеки без проверки их подлинности.

Как защититься: практические шаги для разработчиков и пользователей

Для защиты от подобных атак необходимо принимать комплексные меры безопасности. Разработчики должны использовать инструменты для анализа зависимостей, такие как Snyk, npm audit или Dependabot, которые автоматически сканируют пакеты на наличие уязвимостей и вредоносного кода. Также рекомендуется проверять зависимости в своих проектах и избегать установки пакетов с подозрительными названиями.

Пользователям следует быть осторожными при установке пакетов из npm и других репозиториев. Рекомендуется проверять репутацию пакетов, читать отзывы других разработчиков и использовать инструменты для мониторинга активности в системе. Кроме того, необходимо регулярно обновлять программное обеспечение и использовать антивирусные решения с актуальными базами данных.

Роль Microsoft и отраслевые меры реагирования

Microsoft оперативно отреагировала на инцидент, опубликовав технический отчёт с описанием тактик, техник и процедур (TTP) группировки Sapphire Sleet. Компания также рекомендовала пользователям и разработчикам принять меры для защиты своих систем. В частности, Microsoft посоветовала использовать функции защиты ядра, такие как Kernel-mode Hardware-enforced Stack Protection в Windows 11, для снижения риска эксплуатации уязвимостей.

Отраслевые организации и компании-разработчики пакетов также работают над улучшением безопасности цепочек поставок. В частности, ведутся обсуждения о внедрении механизмов подписи пакетов, обязательной двухфакторной аутентификации для публикации и ужесточении контроля за аккаунтами разработчиков.

Что дальше: прогнозы и долгосрочные последствия

Атака на Mastra AI показывает, что угрозы цепочкам поставок будут только усиливаться. Злоумышленники increasingly используют легитимные механизмы публикации и распространения ПО для распространения вредоносного ПО. Это требует от отрасли разработки более строгих мер безопасности и повышенной бдительности со стороны пользователей.

В ближайшие месяцы можно ожидать ужесточения требований к безопасности в экосистемах npm и других репозиториев. Также вероятно появление новых инструментов для анализа и мониторинга зависимостей, которые помогут выявлять и блокировать подобные атаки на ранних стадиях. Для пользователей и компаний важно оставаться в курсе последних угроз и своевременно применять меры защиты.