В июле 2026 года в поисковой выдаче начала появляться страница GitHub с якобы рабочим эксплойтом для уязвимости CVE-2026-41940. Проект собрал сотни звёзд и десятки форков. Для инженеров, разработчиков и администраторов это выглядело как проверенный источник. Фактически проект служил приманкой, а скачанный скрипт запускал цепочку заражения. Приманка нацелена на сотрудников, у которых есть доступ к инфраструктуре компании. Расчёт сделан на людей, которые ищут готовые эксплойты и часто запускают их на рабочих машинах.
Описание
Механика опирается на доверие к платформе, а не на фишинговое письмо или архив с паролем. Ссылка на проект хорошо ранжировалась по запросам о готовом эксплойте. Внутри лежал скрипт, связанный с заявленной уязвимостью только названием. По сути он содержал посторонний код. Небольшой фрагмент запускал встроенную командную оболочку Windows. Затем с внешнего сервиса для обмена текстом подгружался следующий этап. Пользователь при этом не замечает подвоха. Он сам открывает файл, сам подтверждает запуск и не видит ни одного предупреждения системы.
Приманка выглядит убедительно ещё и потому, что автор имитирует активное сообщество. Звёзды и форки создают видимость популярности. Имя проекта содержит номер уязвимости и намёк на готовый рабочий эксплойт. По этой причине жертва реже проверяет содержимое перед запуском. К тому же история изменений выглядит как обычная работа над кодом. Поддельный репозиторий повторяет все внешние признаки живого проекта.
Исследование Operation RepoGhost показало, что после запуска на машине закреплялась вредоносная программа для скрытого сбора данных. Основной компонент написан на языке Go. Он собирает сохранённые сессии Telegram, профили браузеров, пароли и данные авторизации. Дополнительно программа проверяет языковые настройки системы. Следовательно, в отдельных регионах она предпочитает не проявлять активность. Собранная информация уходит на заранее заданный командно-контрольный сервер.
Вредоносный модуль состоит из нескольких частей. Одна часть отвечает за связь с управляющим сервером, другая - за поиск нужных файлов на диске. По этой причине программа работает тихо и не создаёт заметной нагрузки. Проверка языковых настроек указывает на попытку избежать лишнего внимания в отдельных странах. Для компании последствия ощутимы даже при заражении одного устройства. Украденные сессии Telegram открывают доступ к рабочей переписке и вложениям. Похищенные браузерные профили дают вход во внутренние системы без дополнительного взлома.
История изменений репозитория раскрыла более ранний эпизод. В коммитах остались следы другой кампании - NovaStealer. Помимо этого, там же сохранились отдельные ветки для macOS и Windows. Между коммитами от 20 и 30 июля злоумышленники сменили инфраструктуру доставки. Такая правка занимает минуты, а поиск новых жертв продолжается без паузы. Значит, схема допускает быструю перенастройку после первых публикаций.
Всего отслежено 52 репозитория с похожей механикой. Часть проектов маскируется под полезные утилиты. Другие выдаются за чат-помощника с искусственным интеллектом. Поиск по открытому коду показал одинаковый приём разбора полезной нагрузки в разных проектах. Ещё один репозиторий распространял загрузчик CountLoader. Там применялись скрытые строки, которые приводили к запуску системного компонента Windows. Тот же код обращался к домену, имитирующему библиотеку Python.
Инфраструктура кампании включает промежуточный домен и панель сборки. Страницу входа в панель нашли через сервисы анализа ссылок. Заголовок страницы и связанные адреса указывают на одного оператора. Собранные данные позволяют говорить о единой группировке, а не о разрозненных авторах. Смена доменов идёт регулярно, поэтому блокировка отдельных адресов даёт лишь временный эффект. При этом инструменты кампании не требуют глубоких знаний: большая часть кода собрана из готовых блоков.
Для бизнеса риски не ограничиваются одним ноутбуком. Через украденные аккаунты злоумышленник попадает в корпоративную переписку, во внутренние сервисы и в платёжные системы. Поэтому скачивать эксплойты и сомнительные сборки из открытых источников не стоит. Своевременное обновление операционной системы и браузеров закрывает часть известных уязвимостей. Двухфакторная аутентификация ограничивает ущерб от похищенных учётных данных. К тому же полезно ограничить запуск сторонних сценариев на рабочих машинах и следить за исходящими соединениями.
Схема опирается на простой факт: готовый эксплойт ищут быстро и без проверки. Пока такой спрос сохраняется, репозитории остаются удобным каналом доставки. Защита строится на привычке проверять источник. Отказ запускать чужой код на рабочем устройстве снижает риск сильнее любого отдельного средства защиты.
Индикаторы компрометации
