•  ИНФОРМАЦИОННАЯ  БЕЗОПАСНОСТЬ  ГОСУДАРСТВЕННОГО  СЕКТОРА  ЭКОНОМИКИ,  БИЗНЕСА,  ЧАСТНОЙ  ЖИЗНИ  ГРАЖДАН  РОССИЙСКОЙ  ФЕДЕРАЦИИ •
  • Публикации
  • Злоумышленники использовали заражённый пакет с открытым исходным кодом для кражи криптовалюты на 500 тысяч долларов
  1. Главная
  2. Публикации
  3. Злоумышленники использовали заражённый пакет с открытым исходным кодом для кражи криптовалюты на 500 тысяч долларов
Злоумышленники использовали заражённый пакет с открытым исходным кодом для кражи криптовалюты на 500 тысяч долларов
11 июля 2025

Злоумышленники использовали заражённый пакет с открытым исходным кодом для кражи криптовалюты на 500 тысяч долларов

Детали схемы выяснили эксперты Kaspersky GReAT.

В «Лабораторию Касперского» обратился российский блокчейн-разработчик, у которого злоумышленникам удалось похитить криптовалюту на сумму около 500 тысяч долларов. Эксперты Kaspersky GReAT (Глобального центра исследования и анализа угроз «Лаборатории Касперского») провели анализ и выявили, что пользователь установил на свой ПК заражённый пакет с открытым исходным кодом. Он мимикрировал под расширение для Cursor AI, среды разработки с поддержкой ИИ. Фальшивое расширение загружало на устройство бэкдор Quasar и стилер. Атакующие использовали эти вредоносные программы для кражи криптоактивов. 

Вредоносный пакет оказался подделкой под реально существующее расширение, размещённое в Open VSX — репозитории, который используется в среде Cursor AI. Этот пакет якобы должен был помогать оптимизировать работу с кодом на Solidity — языке программирования смарт-контрактов. В реальности всё, что он делал, — это скачивал и запускал на заражённом устройстве вредоносный код.

Как устроена ловушка. В результатах поиска в репозитории криптовладелец кликнул на первое по порядку внушающее доверие расширение. Злоумышленники искусственно накрутили ему 54 тысячи скачиваний.

Вредоносный пакет оказался подделкой под реально существующее расширение, размещённое в Open VSX — репозитории, который используется в среде Cursor AI. Этот пакет якобы должен был помогать оптимизировать работу с кодом на Solidity

Результаты выдачи по поисковому запросу solidity: вредоносное расширение выделено красным, легитимное — зелёным

Что было дальше. После установки поддельного расширения жертва не получила желаемую функциональность. Вместо этого на компьютер проникла вредоносная сборка ПО ScreenConnect. Используя её, злоумышленники получали удалённый доступ к устройству. Затем они заражали устройство бэкдором Quasar и стилером, который собирает данные из браузеров, почтовых клиентов и криптокошельков. Таким образом атакующие получили доступ к криптокошелькам и вывели с них криптовалюту.

Вредоносный пакет был удалён из репозитория. Однако злоумышленники заново опубликовали его и искусственно завысили число установок до 2 миллионов, в то время как число установок легитимного пакета всё это время составляло 61 тысячу. «Лаборатория Касперского» сообщила разработчикам платформы о новой подделке, которая была оперативно удалена из репозитория.

«Отличать скомпрометированные opensource-пакеты становится всё сложнее. Злоумышленники используют хитроумные тактики. В ловушку попадаются даже продвинутые пользователи, которые хорошо осведомлены о возможных рисках кибербезопасности, особенно те, кто работают в области блокчейн-разработки. Мы ожидаем, что атаки на криптовладельцев продолжатся, поэтому рекомендуем не пренебрегать специальными решениями для обеспечения безопасности конфиденциальных данных и предотвращения финансовых потерь», — комментирует Георгий Кучерин, эксперт Kaspersky GReAT.

Злоумышленники, предположительно стоящие за атакой, опубликовали не только вредоносные расширения Solidity, но и NPM-пакет, который также загружает вредоносную сборку ПО ScreenConnect. Несколькими месяцами ранее они же опубликовали три дополнительных вредоносных расширения для среды разработки Visual Studio Code, которые на данный момент удалены из репозитория. 

Решения «Лаборатории Касперского» защищают от вредоносного ПО, которое использовалось в обнаруженной атаке.

Для защиты от подобных кибератак «Лаборатория Касперского» рекомендует пользователям и компаниям:
- применять специальное решение для мониторинга компонентов с открытым исходным кодом;
- проверять надёжность разработчика пакетов, обращать внимание на наличие последовательной истории версий, документации и активного трекера проблем;
- следить за ландшафтом киберугроз: подписаться на бюллетени от разработчиков опенсорсных пакетов;
- для защиты личных и корпоративных устройств использовать надёжные защитные решения, эффективность которых подтверждается независимыми тестами.

О Kaspersky GReAT
Глобальный центр исследования и анализа угроз Kaspersky GReAT основан в 2008 году. В его задачи входит поиск и исследование наиболее сложных атак, кампаний кибершпионажа, новых методов заражения, эксплойтов, использующих уязвимости нулевого дня. Сегодня в команде центра более 30 экспертов, работающих по всему миру — в Европе, России, Южной Америке, Азии, на Ближнем Востоке. Они известны своими достижениями в расследовании наиболее сложных атак, включая кампании кибершпионажа и киберсаботажа.

Материал подготовлен АО "Лаборатория Касперского"




Нажимая на кнопку, вы даете согласие на обработку персональных данных и соглашаетесь с политикой конфиденциальности

Ваши контактные данные не публикуются на сайте.

Нажимая на кнопку, вы даете согласие на обработку персональных данных и соглашаетесь с политикой конфиденциальности

Теги:
Публикации
Все публикации
Важное
Import_sec-centre.png
Пришлите готовый запрос на E-mail
или заполните форму

Отправить запрос
Тренды

Популярное

05.01.2026

Интеллектуальные помощники меняют профессию юриста: как автоматизация на основе ИИ преобразует юридическую деятельность

Спецпроект «Агент будущего» «Российской газеты» представил мнение Антона Хаймовского, руководителя разработки и владельца продукта ContentCapture, о современных тенденциях перехода юридической сферы от традиционного ручного анализа к интеллектуальной автоматизации. Специалист подробно осветил перспективы, преимущества и существующие ограничения новых технологий применительно к таким направлениям, как оценка правовых рисков, комплексная проверка контрагентов (due diligence), мониторинг соблюдения нормативных требований (комплаенс) и создание юридических документов с использованием автоматизированных решений.

12.01.2026

«Доктор Веб»: обзор вирусной активности в IV квартале 2025 года

Согласно статистике детектирований антивируса Dr.Web, в IV квартале 2025 года общее число обнаруженных угроз увеличилось на 16,05% по сравнению с III кварталом. Число уникальных угроз при этом снизилось на 1,13%. Наибольшее распространение получили нежелательные рекламные приложения, вредоносные скрипты и различные вредоносные программы, в том числе загрузчики и рекламные трояны.

20.12.2025

Специалист Content AI указал на угрозу потери данных при применении открытых нейронных сетей

Большинство российских предприятий обеспокоено возможностью раскрытия секретных сведений вследствие внедрения искусственного интеллекта. Глава технологического подразделения Content AI Сергей Юдин поделился своим мнением с изданием «Российская газета», раскрыв причины, по которым публичные нейросети представляют собой потенциальный источник серьёзных утечек информации, и предложил рекомендации по осторожному внедрению ИИ-технологий внутри корпораций

21.12.2025

VINTEO Desktop совместима с операционными системами «Альт»

Отечественные компании «Базальт СПО», создающая системное программное обеспечение, и VINTEO, разрабатывающая профессиональные инструменты видеоконференций, объявили о подтвержденной совместимости операционных систем «Альт» с клиентским приложением VINTEO Desktop. Специалисты обеих организаций провели ряд тестирований, по итогам которых была удостоверена полная совместимость и бесперебойная работа приложения VINTEO Desktop на операционных системах «Альт Рабочая станция» версий 10 и 11. Подтверждение результатов зафиксировано соответствующими двусторонними сертификатами.

09.12.2025

Завершились успешные испытания и подтверждено взаимодействие СЭД CompanyMedia с семейством операционных систем «Альт»

Фирма «ИнтерТраст», создатель корпоративной системы электронного документооборота CompanyMedia, совместно с российским производителем операционных систем «Базальт СПО» завершила тестирование и подтвердила полное соответствие и стабильность функционирования СЭД CompanyMedia на операционных системах линейки «Альт». Полученный сертификат №0312/25 от 16 октября 2025 года подтверждает успешность проведенных испытаний специалистами «ИнтерТраст». Итоги проверок зафиксированы в специальном двустороннем протоколе

19.12.2025

Беллерофонт позавидовал бы такому мастерству перевоплощения: троян ChimeraWire успешно повышает рейтинг веб-ресурсов, виртуозно имитируя поведение реального пользователя

При исследовании определенной партнерской сети эксперты компании «Доктор Веб» выявили оригинальное вредоносное программное обеспечение типа кликер, обозначенное как Trojan.ChimeraWire. Это приложение функционирует на устройствах с установленной операционной системой Windows и создано на базе открытых проектов zlsgo и Rod, предназначенных для автоматизации взаимодействия с веб-ресурсами и приложениями.

27.11.2025

Электронная краеведческая библиотека Иркутской области «Хроники Приангарья» начала использовать серверное решение ContentReader Server от российского разработчика Content AI для оцифровки культурных ценностей региона

Программное обеспечение позволяет автоматически распознавать текст в сканированных документах, значительно сокращая сроки их подготовки и размещения в ведущем региональном цифровом архиве

03.11.2025

Как заставить производителей соблюдать условия лицензий GPL и где производят свободно распространяемых роботов: выводы XXI конференции создателей свободного программного обеспечения

С 3 по 5 октября 2025 года в городе Переславль-Залесский прошла XXI конференция разработчиков свободного программного обеспечения. Мероприятие посетило свыше 2 тысяч участников, присутствовавших лично и подключившихся удаленно. Организацию события взяли на себя компания «Базальт СПО» и Институт программных систем имени А.К. Айламазяна Российской академии наук (ИПС РАН)

07.11.2025

Компания «Доктор Веб» сообщила о кибератаках хакерской группировки Cavalry Werewolf на госучреждения России

В июле 2025 года в компанию «Доктор Веб» обратился клиент из государственного сектора Российской Федерации с подозрением о возможной компрометации внутренней сети. Гипотеза возникла в связи с тем, что клиент зафиксировал рассылку нежелательных сообщений с одного из корпоративных почтовых ящиков. Проведенное нашей антивирусной лабораторией расследование инцидента показало, что учреждение подверглось целевой атаке со стороны хакерской группировки, которую специалисты «Доктор Веб» идентифицировали как Cavalry Werewolf. Одной из целей кампании был сбор конфиденциальной информации и данных о конфигурации сети

Мы используем куки (cookies) с целью повышения удобства вашей работы с сайтом.

Продолжая работу с сайтом, вы соглашаетесь с нашей политикой конфиденциальности.