Група Lazarus атакує Github та NPM для крадіжки криптовалюти через шкідливий код

Звіт: Група Lazarus експлуатує Github, пакети NPM у кампанії зразків програмного забезпечення для криптовалюти.

Державне кіберколектив з Північної Кореї наразі зламав репозиторії Github та модулі NPM за допомогою прихованого шкідливого коду, щоб красти цифрові валюти, згідно з аналізом команди STRIKE від Securityscorecard. Дослідники з безпеки попереджають про зростання атак з використанням відкритих джерел, пов`язаних з групою Lazarus.

Як зазначається у звіті Computing.co.uk, група Lazarus вставила шкідливий Javascript у проекти Github під псевдонімом `Successfriend`, одночасно підриваючи інструменти NPM, на які покладаються блокчейн-інженери. Операція, названа `Майhem Марстех`, використовує слабкості в програмних ланцюгах поставок для розповсюдження шкідливого програмного забезпечення Marstech1, яке призначене для проникнення в гаманці, такі як Metamask, Exodus і Atomic.

Marstech1 перевіряє заражені пристрої на наявність криптовалютних гаманців, а потім маніпулює налаштуваннями браузера, щоб тайно перенаправляти транзакції. Маскуючись під безпечну системну активність, код уникає перевірок безпеки, дозволяючи тривале витягування даних. Computing.co.uk повідомляє, що це вже другий значний злом на базі Github у 2025 році, аналогічно січневим інцидентам 2025 року, коли нападники використали платформу для розповсюдження шкідливого програмного забезпечення.

У звіті зазначається, що Securityscorecard підтвердив 233 зламаних об`єкти, розташованих у США, Європі та Азії, причому сценарії, пов`язані з Lazarus, діяли з липня 2024 року — року, що став свідком трьохразового зростання випадків шкідливого програмного забезпечення з відкритим кодом. Паралельні стратегії з`явилися у січні 2025 року, коли підроблені бібліотеки Python, які маскувалися під утиліти Deepseek AI, були видалені з PyPI за збори логінів розробників.

Аналітики застерігають, що такі порушення можуть значно поширитися у 2025 році, підживлюючись розповсюдженістю відкритих джерел та переплетеними ланцюгами розробки. Computing.co.uk пояснює, що у статті Security Week згадувалося нещодавнє визначення вразливостей у ланцюгах поставок як основної загрози кібербезпеці від Всесвітнього економічного форуму (WEF).

Нова ініціатива Lazarus є втіленням розвинених тактик цифрового шпигунства, спонсорованих державою, спрямованого на життєво важливі технологічні структури. Computing.co.uk відзначає, що глобальні організації повинні уважно перевіряти інтеграцію коду третьої сторони та зміцнювати механізми перегляду для протидії цим загрозам.