- Исследователи кибербезопасности раскрыли набор из семи npm-пакетов, опубликованных одним злоумышленником с использованием службы маскировки под названием Adspect.
- Adspect позиционируется как облачный сервис для защиты рекламных кампаний от нежелательного трафика, включая кликфрод и ботов со стороны антивирусных компаний.
- Шесть npm-пакетов содержат вредоносный код размером 39 КБ, который маскируется и создает копию цифрового отпечатка системы.
Исследователи кибербезопасности раскрыли набор из семи пакетов npm, опубликованных одним злоумышленником. Эти пакеты используют службу сокрытия под названием Adspect, чтобы отличать реальных жертв от исследователей безопасности, в конечном итоге перенаправляя их на подозрительные сайты с крипто-тематикой.
Вредоносные пакеты npm были опубликованы злоумышленником под именем «dino_reborn» между сентябрем и ноябрем 2025 года. Пакеты включают: signals-embed (342 загрузки), dsidospsodlks (184 загрузки), applicationooks21 (340 загрузок), application-phskck (199 загрузок), integrator-filescrypt2025 (199 загрузок), integrator-2829 (276 загрузок) и integrator-2830 (290 загрузок).
Adspect позиционируется как облачный сервис, защищающий рекламные кампании
Согласно его веб-сайту, Adspect рекламирует облачный сервис, предназначенный для защиты рекламных кампаний от нежелательного трафика, включая мошенничество с кликами и ботов от антивирусных компаний. Он также утверждает, что предлагает «пуленепробиваемое сокрытие» и что он «надежно скрывает каждую рекламную платформу».
Он предлагает три плана: Ant-Fraud, Personal и Professional, которые стоят $299, $499 и $999 в месяц соответственно. Компания также утверждает, что пользователи могут рекламировать «все, что угодно», добавляя, что она следует политикой «без вопросов»: нам все равно, что вы запускаете, и мы не налагаем никаких правил контента.
Исследователь безопасности Socket Оливия Браун заявила, «Посетив поддельный веб-сайт, созданный одним из пакетов, злоумышленник определяет, является ли посетитель жертвой или исследователем безопасности […] Если посетитель является жертвой, он видит поддельную CAPTCHA, которая в конечном итоге перенаправляет его на вредоносный сайт. Если это исследователь безопасности, только несколько признаков на поддельном веб-сайте могут подсказать им, что происходит что-то злонамеренное».
Способность AdSpect блокировать действия исследователей в его веб-браузере
Из этих пакетов шесть содержат 39-килобайтный фрагмент вредоносного программного обеспечения, которое скрывает себя и делает копию отпечатка системы. Оно также пытается избежать анализа, блокируя действия разработчика в веб-браузере, что предотвращает возможность исследователей просматривать исходный код или запускать инструменты разработчика.
Пакеты используют функцию JavaScript, называемую «Немедленно вызываемое функциональное выражение (IIFE)». Это позволяет вредоносному коду выполняться немедленно при его загрузке в веб-браузере.
Однако «signals-embed» не имеет явной вредоносной функциональности и предназначен для создания поддельной белой страницы. Захваченная информация затем отправляется на прокси-сервер («association-google[.]xyz/adspect-proxy[.]php»), чтобы определить, исходит ли источник трафика от жертвы или исследователя, а затем отображается поддельная CAPTCHA.
После того как жертва нажимает на флажок CAPTCHA, она перенаправляется на поддельную страницу, связанную с криптовалютой, которая имитирует такие сервисы, как StandX, с вероятной целью кражи цифровых активов. Но если посетители помечены как потенциальные исследователи, пользователям отображается белая поддельная страница. Она также содержит HTML-код, связанный с отображением политики конфиденциальности, связанной с поддельной компанией под названием Offlido.
Этот отчет совпадает с отчетом Amazon Web Services. В нем говорится, что команда Amazon Inspector выявила и сообщила о более чем 150 000 пакетов, связанных с скоординированной кампанией по фармингу токенов TEA в реестре npm, которая берет свое начало в первоначальной волне, обнаруженной в апреле 2024 года.
«Это один из крупнейших инцидентов с наводнением пакетов в истории реестров с открытым исходным кодом, и он представляет собой определяющий момент в безопасности цепочки поставок», заявили исследователи Чи Тран и Чарли Бейкон. «Злоумышленники автоматически генерируют и публикуют пакеты, чтобы получать криптовалютные вознаграждения без ведома пользователей, что показывает, как кампания расширилась экспоненциально с момента ее первоначального выявления».
Не просто читайте новости о криптовалютах. Понимайте их. Подпишитесь на нашу рассылку. Это бесплатно.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Флоренс Мучай
Флоренс уже 6 лет освещает новости в сферах криптовалют, игр, технологий и искусственного интеллекта. Её образование по специальности «Компьютерные науки» в Университете науки и технологий Меру, а также обучение управлению в чрезвычайных ситуациях и международной дипломатии в MMUST обеспечили ей отличные языковые навыки, наблюдательность и технические компетенции. Флоренс работала в группе VAP Group и была редактором в нескольких крипто-медиа.
