ОтветыОпубликовано20 источники
Как 24 npm-пакета превратились в инфраструктуру для ClickFix-фишинга
OX Security обнаружила 24 npm пакета с одним и тем же HTML файлом, имитирующим Cloudflare CAPTCHA. Страницы перенаправляли посетителей через меняющуюся инфраструктуру злоумышленников, включая поддельный домен Microsoft и публичное хранилище KeyVal, а затем использовали ClickFix приманку.
ОпубликовалОтредактировано с помощью GPT-5.6 LunaИзображения созданы с помощью GPT Image 1.5
Ответ на исследование
Ключевые выводы
- OX Security обнаружила 24 npm пакета с одним и тем же HTML файлом, имитирующим Cloudflare CAPTCHA.
- Страницы перенаправляли посетителей через меняющуюся инфраструктуру злоумышленников, включая поддельный домен Microsoft и публичное хранилище KeyVal, а затем использовали ClickFix приманку.
- Обычно каждый пакет получал от 50 до 300 загрузок в неделю, однако эти показатели не отражают число пользователей, увидевших страницы по прямым ссылкам или через зеркала.
- Связь этой кампании с другими операциями ClickFix и конкретным оператором по имеющимся данным не подтверждена.
Промпт ИИ
openai.comCreate a landscape editorial hero image for this Studio Global article: What did OX Security uncover about the campaign using 24 malicious npm packages and trusted mirrors such as unpkg as phishing infrastructure. Article summary: OX Security found that 24 npm packages carried the same malicious HTML file: a fake Cloudflare CAPTCHA. The packages were not designed to infect developers on installation; instead, attackers used npm and automatically s. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Исследователи OX Security обнаружили кампанию, в которой 24 npm-пакета содержали один и тот же вредоносный HTML-файл — поддельную страницу Cloudflare CAPTCHA. Эти пакеты предназначались не столько для заражения разработчиков при установке, сколько для создания правдоподобной площадки, где можно было разместить фишинговый контент. Реестр npm и автоматически синхронизируемые зеркала вроде unpkg давали злоумышленникам надёжный и вызывающий доверие канал распространения ссылок. 2
17
npm использовали как хостинг, а не как обычный вектор заражения
Вредоносная нагрузка представляла собой статическую HTML-страницу, а не привычный для атак на цепочку поставок пакет со скриптом, запускающимся во время установки. Пользователь, открывший нужный файл через npm или его зеркало, видел экран проверки в стиле Cloudflare, размещённый на знакомом домене сервиса. 2
17
Это важное различие: сама загрузка npm-пакета не обязательно означала заражение. Целью злоумышленников было заставить человека перейти по ссылке на размещённую страницу. Реестр npm и зеркала выступали в роли доступной инфраструктуры доставки, тогда как ссылки могли распространяться по внешним каналам. 17
Цепочка перенаправлений постоянно менялась
Фальшивая CAPTCHA была лишь первым звеном цепочки. По данным OX Security, ранние версии страницы обращались к домену, имитировавшему Microsoft, а позднее в цепочке фигурировала меняющаяся инфраструктура, включая microcloud[.]homes и login[.]microsofte[.]live. 2
18
Операторы также использовали KeyVal — публичное хранилище пар «ключ — значение» — как резолвер, или «мёртвый почтовый ящик», для получения информации о конечном адресе. Такой подход позволял менять направление перенаправления, не публикуя заново тот же HTML-файл во всех пакетах. 21
Из-за этого удаление пакета из npm не обязательно сразу прекращало кампанию. Зеркала могли сохранить синхронизированные файлы и продолжить отдавать их по уже существующим URL. По сообщениям исследователей, после удаления пакетов из реестра некоторые файлы и страницы на зеркалах всё ещё оставались доступными. 17
18
Настоящая атака начиналась после CAPTCHA
Фальшивая проверка не была проверкой безопасности. Она подталкивала посетителя скопировать, вставить и запустить команду на собственном компьютере. Это характерный сценарий ClickFix: вместо эксплуатации уязвимости злоумышленник убеждает жертву самостоятельно выполнить вредоносную команду с её же правами пользователя. 20
25
Такие страницы особенно убедительны потому, что используют знакомый дизайн браузеров и сервисов безопасности. В похожих кампаниях кнопка подтверждения или инструкция незаметно помещает команду в буфер обмена, а затем предлагает выполнить несколько действий с клавиатурой или открыть системное окно запуска. 26
28
Практическое правило здесь простое: настоящая CAPTCHA никогда не должна требовать открыть оболочку, PowerShell, Terminal или окно «Выполнить», вставить туда текст и запустить его.
Сколько загрузок получали пакеты
До удаления каждый пакет обычно набирал от 50 до 300 загрузок в неделю, сообщила OX Security. 2 Однако эти цифры отражают только активность в реестре. Они не показывают, сколько людей могли увидеть фишинговые страницы через прямые ссылки, зеркала или другие каналы распространения.
Поэтому стандартная статистика npm занижает потенциальный охват операции. Пакеты работали как набор размещённых посадочных страниц, а сами URL могли распространяться в фишинговых сообщениях, на взломанных сайтах и через другие внешние источники. 2
17
Что эта кампания говорит о распространении ClickFix
Историю с npm стоит рассматривать как необычный инфраструктурный вариант более широкой модели ClickFix. В разных кампаниях злоумышленники используют знакомую приманку — CAPTCHA, сообщение об ошибке браузера, поддельное обновление или «полезную» утилиту — и убеждают пользователя самостоятельно выполнить команду. Proofpoint описывает ClickFix как всё более распространённый способ доставки вредоносного ПО, а Microsoft документирует дальнейшее развитие этой тактики, включая сочетание сбоев и социальной инженерии для повышения вероятности запуска. 22
25
27
Упоминаемые в контексте этого тренда PavinLoader, EtherHiding, Amatera Stealer, поддельные страницы OpenAI Codex для разработчиков Mac, ACR Stealer и предполагаемая более ранняя операция Beamglea могут иллюстрировать общую тенденцию к исполнению команд самим пользователем. Но предоставленные данные не доказывают, что кампанией с 24 npm-пакетами управлял тот же оператор. Связь с операцией Beamglea, якобы использовавшей 175 npm-пакетов, также не подтверждена имеющимися материалами.
Главный вывод для разработчиков
Этот случай расширяет привычное представление об угрозах цепочке поставок npm. Пакету необязательно запускать вредоносный код во время установки, чтобы оказаться полезным атакующему. Даже обычный HTML-файл, размещённый через доверенный реестр и его зеркала, может стать входной точкой фишинговой операции.
Разработчикам и командам безопасности стоит проверять неожиданные ссылки на npm и CDN, воспринимать инструкции «пройти проверку» как возможную социальную инженерию, отслеживать подозрительный запуск команд на браузерах и конечных устройствах и не выполнять текст, скопированный с веб-страницы.
Самый важный тревожный сигнал — не CAPTCHA сама по себе, а просьба нарушить обычное безопасное поведение: вставить неизвестный текст в системное окно и запустить его.
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Люди также спрашивают
Каков краткий ответ на вопрос «Как 24 npm-пакета превратились в инфраструктуру для ClickFix-фишинга»?
OX Security обнаружила 24 npm пакета с одним и тем же HTML файлом, имитирующим Cloudflare CAPTCHA.
Какие ключевые моменты необходимо проверить в первую очередь?
OX Security обнаружила 24 npm пакета с одним и тем же HTML файлом, имитирующим Cloudflare CAPTCHA. Страницы перенаправляли посетителей через меняющуюся инфраструктуру злоумышленников, включая поддельный домен Microsoft и публичное хранилище KeyVal, а затем использовали ClickFix приманку.
Что мне делать дальше на практике?
Обычно каждый пакет получал от 50 до 300 загрузок в неделю, однако эти показатели не отражают число пользователей, увидевших страницы по прямым ссылкам или через зеркала.