Новый инфостилер атакует российских разработчиков в экосистеме Solana

Группа исследователей кибербезопасности Safety обнаружила целевую кампанию под кодовым названием "Solana-Scan", распространяющую вредоносные пакеты через реестр NPM. Атака направлена на разработчиков в экосистеме криптовалюты Solana, при этом данные свидетельствуют о преимущественном интересе к российским специалистам.

Описание

Технический анализ угрозы

Злоумышленник, использующий почту crypto2001813@gmail[.]com и псевдоним "cryptohan" в NPM, опубликовал два пакета: "solana-pump-test" и "solana-spl-sdk". Третий пакет, "solana-pump-sdk", был удален из реестра незадолго до обнаружения кампании. Все пакеты маскируются под инструменты сканирования компонентов Solana SDK, что не имеет практического обоснования в легальной разработке.

При установке пакеты выполняют многоступенчатую атаку:

Первичный скрипт "universal-launcher.cjs" собирает данные о среде выполнения: имя пользователя, рабочий каталог и метод установки.
После анализа окружения запускается фоновый процесс "index.js", обеспечивающий устойчивость.
Основной модуль проводит системное сканирование, фокусируясь на директориях Home, Documents, Downloads и дополнительных дисках Windows.
Целевые файлы включают конфигурации (.env, .json) и текстовые документы (.txt, .one) с особым вниманием к данным, содержащим криптографические ключи.

Инфраструктура управления

Собранные данные упаковываются в JSON и передаются на IP-адрес 209.159.159.198 (США) через порт 3000. Исследователи обнаружили, что сервер функционирует под Windows Server 2022 с открытым RDP-доступом и веб-интерфейсом, где публично доступны файлы жертв: пароли, учетные данные криптобирж и кошельков. Геолокация части IP-адресов в логах указывает на Москву, однако точный вектор компрометации пока не подтвержден.

Отличительные особенности атаки

Кампания выделяется несколькими аспектами:

Географический парадокс: сервер управления расположен в США, тогда как основная масса жертв предположительно находится в России, что вызывает вопросы о возможной государственной причастности.
Использование генеративного ИИ: стиль кода с эмодзи в консольных сообщениях характерен для выводов нейросетей типа Anthropic Claude.
Интеллектуальное взаимодействие со средой: скрипты адаптивно анализируют окружение Node.js и NPM для оптимизации вредоносной нагрузки.
Селективный сбор: исключение системных директорий (node_modules, .git) снижает шумность операции.

NPM уже удалил активные пакеты, однако открытый доступ к серверу управления свидетельствует о риске утечки ранее собранных данных. Расследование продолжается для установления связей между "cryptohan" и другими акторами в криптоэкосистеме, где этот псевдоним используется несколькими лицами.