Фантомный Ворон возвращается: Новая волна атак через NPM распространяет 88 вредоносных пакетов для кражи данных разработчиков
Упорная кампания против цепочки поставок программного обеспечения, получившая название PhantomRaven, начала новую волну атак, нацеленную на реестр npm (Node Package Manager). Исследователи безопасности выявили 88 новых вредоносных пакетов, созданных для хищения конфиденциальных данных разработчиков JavaScript. Эта последняя активность, обнаруженная компанией по безопасности приложений Endor Labs, представляет собой три отдельные волны атак, произошедшие между ноябрем 2025 и февралем 2026 года, распространенные через примерно 50 одноразовых учетных записей npm. Кампания, впервые раскрытая в октябре 2025 года исследователями Koi, активна с августа того же года, ранее опубликовав 126 вредоносных пакетов. Тревожно, что, по данным Endor Labs, 81 из этих вновь выявленных пакетов PhantomRaven остаются общедоступными в реестре npm, создавая постоянную угрозу.
Злоумышленники применяют изощренные тактики для привлечения разработчиков. Основной метод — «slopsquatting», когда создаются имена пакетов, близко имитирующие легитимные популярные проекты, такие как Babel и GraphQL Codegen. Имена часто кажутся бессмысленными или сгенерированными большой языковой моделью, эксплуатируя опечатки разработчиков или автоматические предложения. Что еще более критично, PhantomRaven использует продвинутую технику уклонения от обнаружения, известную как Remote Dynamic Dependencies. Вместо внедрения вредоносного кода непосредственно в опубликованный пакет npm, злоумышленник модифицирует файл метаданных `package.json`, указывая зависимость, размещенную по внешнему URL-адресу.
Когда ничего не подозревающий разработчик выполняет команду `npm install`, менеджер пакетов автоматически загружает и устанавливает вредоносную полезную нагрузку с этого удаленного расположения. Это эффективно обходит статический анализ, который сканирует содержимое пакета при загрузке в реестр. Таким образом, угроза остается невидимой на этапе первичной проверки.
Более широкий ландшафт кибербезопасности продолжает сталкиваться с многообразными угрозами, что подчеркивается другими недавними отчетами. Microsoft предупреждает, что государственные и криминальные акторы теперь злоупотребляют искусственным интеллектом на каждом этапе жизненного цикла кибератаки. Одновременно фишинговые кампании эволюционируют, чтобы обходить традиционную защиту, используя малоизвестные DNS-записи.
В других программных экосистемах также наблюдается напряженная ситуация. Критическая уязвимость внедрения SQL в плагине Elementor Ally для WordPress затрагивает более 250 000 сайтов. Агентство CISA обязало федеральные учреждения устранить удаленно эксплуатируемую уязвимость в инструменте автоматизации рабочих процессов n8n. Эти параллельные угрозы подчеркивают комплексный характер современных киберрисков.
