Обнаружен вредоносный npm-пакет с зашифрованным загрузчиком

Исследователи безопасности зафиксировали распространение вредоносного пакета в репозитории npm, использующего сложный механизм скрытия полезной нагрузки. Вредоносный код активируется только после решения специфического математического уравнения, что позволяет обходить автоматизированные системы статического анализа.

Для защиты своего содержимого от обнаружения злоумышленники применили алгоритм AES-GCM в сочетании с функцией формирования ключа scrypt. Зашифрованный загрузчик расшифровывает основной вредоносный модуль непосредственно в оперативной памяти, минимизируя следы присутствия на диске. Подробный технический разбор инцидента опубликован в отчете Safedep.

Использование криптографических методов в цепочках поставок ПО становится новым стандартом для обхода систем защиты. В данном случае математическая проверка выступает в роли «логической бомбы», которая предотвращает запуск кода в песочницах, не способных имитировать интерактивное взаимодействие или вычисления, требуемые для дешифровки.

Этот инцидент подчеркивает уязвимость экосистемы npm перед лицом продвинутых методов обфускации. Разработчикам рекомендуется проводить аудит зависимостей и ограничивать выполнение скриптов при установке пакетов, так как подобные методы маскировки делают стандартные сканеры уязвимостей практически бесполезными. Обсуждение технических деталей атаки доступно на платформе Hacker News.