•  ИНФОРМАЦИОННАЯ  БЕЗОПАСНОСТЬ  ГОСУДАРСТВЕННОГО  СЕКТОРА  ЭКОНОМИКИ,  БИЗНЕСА,  ЧАСТНОЙ  ЖИЗНИ  ГРАЖДАН  РОССИЙСКОЙ  ФЕДЕРАЦИИ •
  • Публикации
  • Злоумышленники использовали заражённый пакет с открытым исходным кодом для кражи криптовалюты на 500 тысяч долларов
  1. Главная
  2. Публикации
  3. Злоумышленники использовали заражённый пакет с открытым исходным кодом для кражи криптовалюты на 500 тысяч долларов
Злоумышленники использовали заражённый пакет с открытым исходным кодом для кражи криптовалюты на 500 тысяч долларов
11 июля 2025

Злоумышленники использовали заражённый пакет с открытым исходным кодом для кражи криптовалюты на 500 тысяч долларов

Детали схемы выяснили эксперты Kaspersky GReAT.

В «Лабораторию Касперского» обратился российский блокчейн-разработчик, у которого злоумышленникам удалось похитить криптовалюту на сумму около 500 тысяч долларов. Эксперты Kaspersky GReAT (Глобального центра исследования и анализа угроз «Лаборатории Касперского») провели анализ и выявили, что пользователь установил на свой ПК заражённый пакет с открытым исходным кодом. Он мимикрировал под расширение для Cursor AI, среды разработки с поддержкой ИИ. Фальшивое расширение загружало на устройство бэкдор Quasar и стилер. Атакующие использовали эти вредоносные программы для кражи криптоактивов. 

Вредоносный пакет оказался подделкой под реально существующее расширение, размещённое в Open VSX — репозитории, который используется в среде Cursor AI. Этот пакет якобы должен был помогать оптимизировать работу с кодом на Solidity — языке программирования смарт-контрактов. В реальности всё, что он делал, — это скачивал и запускал на заражённом устройстве вредоносный код.

Как устроена ловушка. В результатах поиска в репозитории криптовладелец кликнул на первое по порядку внушающее доверие расширение. Злоумышленники искусственно накрутили ему 54 тысячи скачиваний.

Вредоносный пакет оказался подделкой под реально существующее расширение, размещённое в Open VSX — репозитории, который используется в среде Cursor AI. Этот пакет якобы должен был помогать оптимизировать работу с кодом на Solidity

Результаты выдачи по поисковому запросу solidity: вредоносное расширение выделено красным, легитимное — зелёным

Что было дальше. После установки поддельного расширения жертва не получила желаемую функциональность. Вместо этого на компьютер проникла вредоносная сборка ПО ScreenConnect. Используя её, злоумышленники получали удалённый доступ к устройству. Затем они заражали устройство бэкдором Quasar и стилером, который собирает данные из браузеров, почтовых клиентов и криптокошельков. Таким образом атакующие получили доступ к криптокошелькам и вывели с них криптовалюту.

Вредоносный пакет был удалён из репозитория. Однако злоумышленники заново опубликовали его и искусственно завысили число установок до 2 миллионов, в то время как число установок легитимного пакета всё это время составляло 61 тысячу. «Лаборатория Касперского» сообщила разработчикам платформы о новой подделке, которая была оперативно удалена из репозитория.

«Отличать скомпрометированные opensource-пакеты становится всё сложнее. Злоумышленники используют хитроумные тактики. В ловушку попадаются даже продвинутые пользователи, которые хорошо осведомлены о возможных рисках кибербезопасности, особенно те, кто работают в области блокчейн-разработки. Мы ожидаем, что атаки на криптовладельцев продолжатся, поэтому рекомендуем не пренебрегать специальными решениями для обеспечения безопасности конфиденциальных данных и предотвращения финансовых потерь», — комментирует Георгий Кучерин, эксперт Kaspersky GReAT.

Злоумышленники, предположительно стоящие за атакой, опубликовали не только вредоносные расширения Solidity, но и NPM-пакет, который также загружает вредоносную сборку ПО ScreenConnect. Несколькими месяцами ранее они же опубликовали три дополнительных вредоносных расширения для среды разработки Visual Studio Code, которые на данный момент удалены из репозитория. 

Решения «Лаборатории Касперского» защищают от вредоносного ПО, которое использовалось в обнаруженной атаке.

Для защиты от подобных кибератак «Лаборатория Касперского» рекомендует пользователям и компаниям:
- применять специальное решение для мониторинга компонентов с открытым исходным кодом;
- проверять надёжность разработчика пакетов, обращать внимание на наличие последовательной истории версий, документации и активного трекера проблем;
- следить за ландшафтом киберугроз: подписаться на бюллетени от разработчиков опенсорсных пакетов;
- для защиты личных и корпоративных устройств использовать надёжные защитные решения, эффективность которых подтверждается независимыми тестами.

О Kaspersky GReAT
Глобальный центр исследования и анализа угроз Kaspersky GReAT основан в 2008 году. В его задачи входит поиск и исследование наиболее сложных атак, кампаний кибершпионажа, новых методов заражения, эксплойтов, использующих уязвимости нулевого дня. Сегодня в команде центра более 30 экспертов, работающих по всему миру — в Европе, России, Южной Америке, Азии, на Ближнем Востоке. Они известны своими достижениями в расследовании наиболее сложных атак, включая кампании кибершпионажа и киберсаботажа.

Материал подготовлен АО "Лаборатория Касперского"




Нажимая на кнопку, вы даете согласие на обработку персональных данных и соглашаетесь с политикой конфиденциальности

Ваши контактные данные не публикуются на сайте.

Нажимая на кнопку, вы даете согласие на обработку персональных данных и соглашаетесь с политикой конфиденциальности

Теги:
Публикации
Все публикации
Важное
Import_sec-centre.png
Пришлите готовый запрос на E-mail
или заполните форму

Отправить запрос
Тренды

Популярное

03.11.2025

Как заставить производителей соблюдать условия лицензий GPL и где производят свободно распространяемых роботов: выводы XXI конференции создателей свободного программного обеспечения

С 3 по 5 октября 2025 года в городе Переславль-Залесский прошла XXI конференция разработчиков свободного программного обеспечения. Мероприятие посетило свыше 2 тысяч участников, присутствовавших лично и подключившихся удаленно. Организацию события взяли на себя компания «Базальт СПО» и Институт программных систем имени А.К. Айламазяна Российской академии наук (ИПС РАН)

07.11.2025

Компания «Доктор Веб» сообщила о кибератаках хакерской группировки Cavalry Werewolf на госучреждения России

В июле 2025 года в компанию «Доктор Веб» обратился клиент из государственного сектора Российской Федерации с подозрением о возможной компрометации внутренней сети. Гипотеза возникла в связи с тем, что клиент зафиксировал рассылку нежелательных сообщений с одного из корпоративных почтовых ящиков. Проведенное нашей антивирусной лабораторией расследование инцидента показало, что учреждение подверглось целевой атаке со стороны хакерской группировки, которую специалисты «Доктор Веб» идентифицировали как Cavalry Werewolf. Одной из целей кампании был сбор конфиденциальной информации и данных о конфигурации сети

22.10.2025

Отчеты Dr.Web vxCube о целенаправленных атаках интегрированы с матричной структурой MITRE ATT&CK для структурированного представления информации

«Доктор Веб» представляет обновленную версию Dr.Web vxCube. Основное изменение — наложение отчета песочницы на Enterprise-матрицу MITRE ATT&CK, что позволяет объединить результаты анализа с базой знаний о тактиках и техниках атакующих. Результат: более точная оценка вредоносности исследуемых образцов и выстраивание хронологии атаки. Матрица MITRE ATT&CK в формате базы знаний описывает тактики и техники киберпреступников, атакующих информационные системы, — это позволяет специалистам по информационной безопасности получать готовые данные для повышения эффективности защиты инфраструктуры

01.10.2025

«Доктор Веб»: обзор вирусной активности в III квартале 2025 года

Согласно статистике детектирований антивируса Dr.Web, в III квартале 2025 года общее число обнаруженных угроз снизилось на 4,23% по сравнению со II кварталом. При этом количество уникальных угроз увеличилось на 2,17%. Чаще всего на защищаемых устройствах обнаруживалось нежелательное рекламное ПО, рекламные трояны и вредоносные скрипты. В почтовом трафике преобладали вредоносные скрипты, бэкдоры, и различные троянские программы, такие как загрузчики, дропперы и похитители паролей

02.10.2025

«Лаборатория Касперского» анонсировала программу международной конференции Security Analyst Summit (SAS) 2025, которая пройдёт в Таиланде с 26 по 29 октября

Ожидается участие 200 гостей из разных стран. В этом году одной из ключевых тем станет кибербезопасность автомобилей

15.08.2025

Дубль два: Scaly Wolf с упорством желает заполучить секреты российского машиностроительного предприятия

В конце июня 2025 года в компанию «Доктор Веб» обратились представители российского предприятия машиностроительного сектора c просьбой выяснить, являются ли периодические срабатывания антивируса на одном из компьютеров признаком заражения или же вызваны неким сбоем. Расследование инцидента показало, что реакция антивируса оказалась штатной, а предприятие подверглось целевой атаке

11.03.2025

Исследование целевой атаки на российское предприятие машиностроительного сектора

В октябре 2023 года в компанию «Доктор Веб» обратилось российское предприятие машиностроительного сектора с подозрением на присутствие ВПО на одном из своих компьютеров.

02.08.2025

«Альт Виртуализация» 11.0: быстрая установка, поддержка SDN, обновление через веб-интерфейс, простая миграция из VMware

«Базальт СПО» выпустила операционную систему «Альт Виртуализация» на 11 платформе

14.07.2025

Исследование Киберпротекта и «Работы.ру»: 74% малых компаний готовы усиливать киберзащиту только по требованию закона

Более половины российских компаний сегмента МСП планируют увеличить траты на информационную безопасность в 2025 году, однако большинство готовы укреплять защиту лишь в ответ на внешнее давление. Так, 74% компаний заявляют, что готовы действовать только в случае введения новых требований регулятора — такие данные представлены во второй части исследования ИТ-компании «Киберпротект» и платформы по поиску работы «Работа.ру»

Мы используем куки (cookies) с целью повышения удобства вашей работы с сайтом.

Продолжая работу с сайтом, вы соглашаетесь с нашей политикой конфиденциальности.