С конца сентября 2026 года в реестре npm лежат семь пакетов, которые выдают себя за клиентскую библиотеку NebulaAI. Установка любого из них превращает рабочий компьютер на Windows в подконтрольную злоумышленнику машину. Расчёт сделан на разработчиков: новую библиотеку для работы с искусственным интеллектом многие ставят сразу, едва увидев правдоподобное название.
Описание
Два пакета из этой группы, api-nebula и llm-nebula, по-прежнему доступны для скачивания. Остальные сняли с публикации частично администраторы реестра, частично сам автор. Распространяли всё с четырёх последовательных одноразовых аккаунтов, каждый завели на отдельный адрес временной почты. Такой порядок затрудняет блокировку по учётной записи и поиск связанных профилей.
Внешне пакеты выглядят как полноценный клиент: сессии, потоковая передача ответов, понятные методы. Объединяет их не название, а содержимое - скрипт установки совпадает до байта, о чём сообщает CloudSEK. Человек открывает код и видит обычную библиотеку, а тем временем вредоносная часть уже отработала: она запускается до размещения пакета и до того, как разработчик успевает прочитать хоть строку.
Что запускается до чтения кода
Логику установочного скрипта закодировали, поэтому глазами её не прочесть. Дальше возможны два пути. Либо скрипт распаковывает вложенный исполняемый файл, спрятанный внутри пакета, либо загружает его из сети. Готовый файл ложится в пользовательский каталог под именем хоста консоли Windows - служебного процесса, к которому администраторы привыкли и на который обычно не обращают внимания. Рядом с ним программа запускается без участия пользователя.
Внутри оказалась изменённая сборка KNTRAT, открытой программы удалённого доступа. Связывается она с командным сервером по прямому числовому адресу. Домена у этого сервера нет, поэтому изъять его и оборвать управление не получится. Остаётся блокировка адреса на периметре сети, причём делать это нужно до следующей волны публикаций.
Возможности у KNTRAT широкие. Оператор запускает программы и браузер в скрытом рабочем столе, который не виден владельцу компьютера. Программа захватывает изображение с камеры и звук с микрофона. Команды в командной строке она выполняет через отдельные каналы связи, а доступ сохраняет после перезагрузки, добавляя себя в настройки автозапуска оболочки Windows. Для всего перечисленного она обращается к ядру системы напрямую, не задействуя привычные библиотеки.
Пустой список внешних зависимостей лишает антивирусы и средства обнаружения вторжений их обычной зацепки. Защита смотрит на то, какие библиотеки подключает файл, а здесь подключать нечего. Проверка в изолированной среде это подтвердила. За двенадцать минут наблюдения вредоносная программа не отправила ни одного запроса наружу. Молчание под анализом сработало как отдельный защитный механизм.
Исходный код инструмента автор держал закрытым весь период кампании. Репозиторий открыли только 6 октября 2026 года, спустя несколько дней после начала разбирательства, и заодно переименовали. В описании проект значится как бесплатная программа удалённого доступа для 64-битных версий Windows - от XP до 11. Ни одного ответвления и ни одной отметки от сторонних разработчиков у него нет.
Масштаб и последствия
Семь названий - это нижняя граница, а не полная картина. Столько удалось подтвердить по записям реестра и сохранённым копиям. Часть архивов к моменту проверки уже исчезла, поэтому перепись заведомо неполная. Зато сплошная проверка всех пакетов, попавших в поле зрения с 25 по 27 сентября, других экземпляров не нашла. Речь идёт о 162 тысячах архивов, и ни один из них не нёс того же отпечатка.
Конкретной компании среди целей нет. Ставка сделана на любого, кто поставит убедительно названный пакет на рабочую машину. Взамен оператор получает сеанс, из которого можно открывать внутренние сервисы, читать документы и выгружать данные, оставаясь невидимым для человека за клавиатурой. Успешного взлома с утечкой пока никто не подтвердил, но цепочка доставки работает, а найденный образец - не заготовка, а полноценный инструмент с готовым набором функций.
Один из активных пакетов попал в каталог MAL-2026-17531 лишь 5 октября, через несколько дней после публикации, и установить его можно до сих пор. Каталоги отстают от живой публикации и не ведут к удалению. Списки имён устаревают быстрее, чем злоумышленник успевает сменить аккаунт. Отключение или изоляция скриптов, которые запускаются при установке, закрывает эту схему целиком.
Индикаторы компрометации
YARA
