Группа исследователей кибербезопасности Safety обнаружила целевую кампанию под кодовым названием "Solana-Scan", распространяющую вредоносные пакеты через реестр NPM. Атака направлена на разработчиков в экосистеме криптовалюты Solana, при этом данные свидетельствуют о преимущественном интересе к российским специалистам.
Описание
Технический анализ угрозы
Злоумышленник, использующий почту crypto2001813@gmail[.]com и псевдоним "cryptohan" в NPM, опубликовал два пакета: "solana-pump-test" и "solana-spl-sdk". Третий пакет, "solana-pump-sdk", был удален из реестра незадолго до обнаружения кампании. Все пакеты маскируются под инструменты сканирования компонентов Solana SDK, что не имеет практического обоснования в легальной разработке.
При установке пакеты выполняют многоступенчатую атаку:
- Первичный скрипт "universal-launcher.cjs" собирает данные о среде выполнения: имя пользователя, рабочий каталог и метод установки.
- После анализа окружения запускается фоновый процесс "index.js", обеспечивающий устойчивость.
- Основной модуль проводит системное сканирование, фокусируясь на директориях Home, Documents, Downloads и дополнительных дисках Windows.
- Целевые файлы включают конфигурации (.env, .json) и текстовые документы (.txt, .one) с особым вниманием к данным, содержащим криптографические ключи.
Инфраструктура управления
Собранные данные упаковываются в JSON и передаются на IP-адрес 209.159.159.198 (США) через порт 3000. Исследователи обнаружили, что сервер функционирует под Windows Server 2022 с открытым RDP-доступом и веб-интерфейсом, где публично доступны файлы жертв: пароли, учетные данные криптобирж и кошельков. Геолокация части IP-адресов в логах указывает на Москву, однако точный вектор компрометации пока не подтвержден.
Отличительные особенности атаки
Кампания выделяется несколькими аспектами:
- Географический парадокс: сервер управления расположен в США, тогда как основная масса жертв предположительно находится в России, что вызывает вопросы о возможной государственной причастности.
- Использование генеративного ИИ: стиль кода с эмодзи в консольных сообщениях характерен для выводов нейросетей типа Anthropic Claude.
- Интеллектуальное взаимодействие со средой: скрипты адаптивно анализируют окружение Node.js и NPM для оптимизации вредоносной нагрузки.
- Селективный сбор: исключение системных директорий (node_modules, .git) снижает шумность операции.
NPM уже удалил активные пакеты, однако открытый доступ к серверу управления свидетельствует о риске утечки ранее собранных данных. Расследование продолжается для установления связей между "cryptohan" и другими акторами в криптоэкосистеме, где этот псевдоним используется несколькими лицами.
Индикаторы компрометации
