Группа Lazarus использует Github и NPM для распространения вредоносного ПО в атаке на криптовалюты

Доклад: Группа Lazarus использует Github, пакеты NPM в кампании по распространению вредоносного ПО для криптовалют

Государственная киберколлектив из Северной Кореи скомпрометировала репозитории Github и модули NPM с помощью скрытого вредоносного кода, чтобы похищать цифровые валюты, согласно анализу команды STRIKE компании Securityscorecard. Исследователи безопасности предупреждают о растущих атаках вредоносного ПО с открытым исходным кодом, связанных с группой Lazarus.

Как утверждается в отчете Computing.co.uk, группа Lazarus внедрила вредоносный Javascript в проекты Github под псевдонимом “Successfriend”, одновременно подрывая инструменты NPM, на которые полагаются блокчейн-инженеры. Операция под кодовым названием “Operation Marstech Mayhem” использует уязвимости в цепочках поставок программного обеспечения для распространения вредоносного ПО Marstech1, предназначенного для проникновения в кошельки, такие как Metamask, Exodus и Atomic.

Marstech1 сканирует зараженные устройства на предмет криптовалютных кошельков, а затем манипулирует настройками браузера для скрытого перенаправления транзакций. Замаскировавшись под безобидную системную деятельность, код избегает сканирования безопасности, что позволяет продолжать извлечение данных. Computing.co.uk сообщает, что это представляет собой второй серьезный взлом на основе Github в 2025 году, отражая инциденты января 2025 года, когда злоумышленники использовали охват платформы для распространения вредоносного ПО.

В отчете также отмечается, что Securityscorecard проверила 233 скомпрометированных сущностей в США, Европе и Азии, при этом сценарии, связанные с группой Lazarus, действовали с июля 2024 года — года, когда наблюдался трехкратный рост инцидентов с открытым исходным кодом. Параллельные стратегии возникли в январе 2025 года, когда поддельные библиотеки Python, маскирующиеся под утилиты Deepseek AI, были удалены из PyPI за сбор логинов разработчиков.

Аналитики предупреждают, что такие инвазии могут значительно увеличиться в 2025 году, подпитываемые повсеместным использованием открытого исходного кода и переплетенными конвейерами разработки. Computing.co.uk объясняет, что в статье Security Week упоминалась недавняя классификация уязвимости цепочки поставок Всемирным экономическим форумом (WEF) как первоочередная угроза кибербезопасности.

Новая инициатива Lazarus олицетворяет сложные тактики цифрового шпионажа, поддерживаемого государством, направленные на жизненно важные технологические структуры. Computing.co.uk сообщает, что глобальным компаниям рекомендуется внимательно проверять интеграции стороннего кода и укреплять механизмы проверки для противодействия этим угрозам.