Взломанные npm-пакеты распространяют вредоносное ПО

⏺️ Специалисты Sonatype Security Research обнаружили два скомпрометированных npm-пакета в экосистеме React Native, которые вместе набирают свыше 30 000 загрузок еженедельно и были изменены для доставки многоэтапного вредоносного ПО.

🧠 Исследователи StepSecure первыми зафиксировали этот случай, выявили вредоносные версии и сообщили создателю пакетов, который сразу же отказался от их поддержки. Анализ C2-инфраструктуры показал совпадение IP-адресов с теми, что ранее ассоциировались с кампанией Glassworm.

🕸 В рамках регулярного сканирования open source экосистем Sonatype наткнулась на вредоносные обновления этих двух React Native пакетов. Пакеты впоследствии удалили из npm, но из-за их широкой популярности в сообществе возникает беспокойство за безопасность dev-сред и CI/CD-пайплайнов.

Процесс извлечения полезной нагрузки осуществляется следующим образом:
1️⃣ Скрипт создает файл с именем init.json в домашнем каталоге пользователя, чтобы предотвратить его повторное выполнение в течение примерно двух дней.
2️⃣ Скрипт опрашивает RPC-терминалы Solana каждые 10 секунд на предмет транзакций, связанных с конкретным адресом кошелька.
3️⃣ При обнаружении транзакции, содержащей поле типа "memo", скрипт рассматривает это поле как контейнер команд.
4️⃣ Числовой префикс удаляется, а оставшееся содержимое анализируется как конфигурационные данные в формате JSON.
5️⃣ JSON-файл содержит закодированный в base64 URL-адрес, указывающий на полезную нагрузку второго этапа.
6️⃣ Скрипт декодирует URL-адрес и загружает полезную нагрузку, отправляя при этом операционную систему хоста в составе запроса.
7️⃣ Заголовки ответа содержат дополнительные параметры, такие как ivbase64 и secretkey .
8️⃣ Полезная нагрузка декодируется в формате base64 и выполняется непосредственно в памяти с помощью eval или виртуальной машины Node.js в изолированной среде на системах, отличных от macOS.

➡️ Встречали подобную атаку ранее?

#npm #malware #react #research

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

GitHub в опасности!

🧿 Исследователи обнаружили критическую уязвимость в GitHub.com и GitHub Enterprise Server, позволяющую аутентифицированному пользователю выполнить удалённый код (RCE) с помощью команды git push

🎯 Уязвимость CVE-2026-3854 (CVSS 8.7) — это инъекция команд через опции git push, которые не нормализовались перед включением в внутренний заголовок X-Stat. Разделитель (точка с запятой) из пользовательского ввода позволял получить дополнительные метаданные, обходя sandbox и хуки.

❗️ Компания Wiz, занимающаяся облачной безопасностью, принадлежащая Google, обнаружила проблему и сообщила о ней 4 марта 2026 года, после чего GitHub проверил и внедрил исправление на GitHub.com в течение двух часов.
Уязвимость также была устранена в версиях GitHub Enterprise Server 3.14.25, 3.15.20, 3.16.16, 3.17.13, 3.18.8, 3.19.4, 3.20.0, или более поздних. Нет никаких свидетельств того, что проблема когда-либо использовалась злоумышленниками, но исключать её из внимания не стоит.

⬇️ При выполнении команды git push пользовательские значения опций push не подвергались должной очистке перед передачей во внутренние сервисные заголовки. Формат этих заголовков опирался на разделитель, который мог встречаться в обычном вводе пользователя, позволяя атакующему через специально подготовленные опции внедрять произвольные поля метаданных. Проблему выявили и сообщили через программу GitHub Bug Bounty

🧠 По данным GitHub, проблема затрагивает GitHub.com, GitHub Enterprise Cloud, GitHub Enterprise Cloud с функцией Data Residency, GitHub Enterprise Cloud с функцией Enterprise Managed Users и GitHub Enterprise Server.

🕸 Несмотря на быстрое исправление уязвимости, будьте внимательны и обращайте на каждую деталь в инфраструктуре!

#github #cve #research

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Исследователи разработали и протестировали устройство, которое может использоваться для перехвата управления электроникой в Boeing 737 (одного из распространенных самолетов в коммерческой авиации).

🔑Условия эксплуатации
Кратковременный физический доступ к самолету позволит злоумышленнику, оснащенному специальным аппаратным устройством, перехватить связь между двумя ключевыми бортовыми компьютерами.

Устройство нужно подключить к порту в нижней части фюзеляжа самолета — по оценкам исследователей, это займет менее 60 секунд. Для этого потребуется доступ к самолету либо когда он стоит у выхода на посадку, либо когда он находится в ангаре аэропорта во время планового технического обслуживания.

🧿Последствия
Исследователи успешно продемонстрировали атаку на испытательном стенде, состоящем из реальных деталей самолета Boeing 737 и программного обеспечения. Экспериментальная атака позволила исследователям изменить траекторию полета самолета и данные, которые могли сделать условия взлета небезопасными.❗️

Как работает атака?
1️⃣Исследователи обнаружили неиспользуемый порт для технического обслуживания в отсеке электроники и оборудования самолета, где расположены ключевые электронные системы. Этот отсек расположен прямо под носом самолета и обеспечивает доступ к данным, передаваемым между двумя критически важными бортовыми компьютерами.

1️⃣Один из них — это компьютер управления полетом, который контролирует траекторию полета самолета, а также траекторию захода на посадку перед приземлением, а также предоставляет важную информацию при взлете. Другой — это компьютер, который отображает информацию о траектории полета, а также другие важные данные для пилотов в кабине. Информация и инструкции передаются между этими двумя компьютерами с помощью проводных систем связи, по шине ARINC 429.

Такие шины как ARINC 429, передают данные с помощью тока, проходящего по двум проводам и через набор резисторов. Поскольку этой системе уже несколько десятилетий, в ней нет функций защиты данных, таких как аутентификация сообщений.

2️⃣Исследователи спроектировали, собрали и запрограммировали небольшое аппаратное устройство, которое выступает в роли стороннего субъекта, перехватывающего управление этими шинами. Для этого оно подает больший ток, чтобы иметь возможность перекрывать любые легитимные передачи своими. Такой подход позволяет устройству незаметно передавать новые инструкции компьютеру управления полетом, скрывая при этом признаки внесения изменений.

#news #research #security

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Исследователи на конференции DEF CON 34 продемонстрировали новый класс атак Plug and Pwn. Атака эксплуатирует штатный механизм Windows Plug and Play, который считывает идентификаторы устройства, находит соответствующий пакет драйвера, загружает его из Центра обновления Windows и запускает установочный код поставщика от имени SYSTEM.

❗️При подключении USB‑устройства к компьютеру с Windows операционная система может загрузить пакет от Microsoft и выполнить код поставщика с привилегиями NT AUTHORITY\SYSTEM. Это возможно:
▶️без прав администратора;
▶️без входа пользователя в систему;
▶️в некоторых случаях — удалённо (через USB‑перенаправление RDP).

Основные векторы атак
1️⃣Plug & Pwn — физическая цепочка с нулевым кликом (используются уязвимости устройств Sierra и Sony). Атака превращает полностью обновленную систему Windows 11 без авторизации пользователя в SYSTEM за 5 минут без единого клика.

2️⃣NoPlug & Pwn — эксплуатация функции перенаправления USB через RDP без использования физического оборудования. Злоумышленник подделывает дескрипторы устройства и заставляет сервер создать соответствующее Plug and Play-устройство, что позволяет установить драйвер от имени SYSTEM.

Ключевые этапы атаки (на примере физического вектора)
➡️Специалисты использовали фреймворк для эмуляции USB-устройств FaceDancer, который запускали на машине Linux. Утилита программно формирует USB-дескрипторы, интерфейсы, классы устройств и эндпоинты. Эмулятор идентифицировал себя перед Windows как устройство Sierra. Это заставило систему автоматически установить сервис SwiService.exe, работающий с привилегиями SYSTEM и способный изменять настройки DNS.

➡️Далее эмулятор переподключался уже с идентификатором считывателя Sony FeliCa, что приводило к установке программного обеспечения Sony. В нём существовал механизм загрузки конфигурационных файлов по незащищённому HTTP. Таким образом, Windows принимала поддельные устройства за реальные: находила соответствующие драйверы и фирменное ПО и могла автоматически устанавливать их с высокими привилегиями.

➡️После успешной имитации Sierra Wireless исследователи получили возможность изменить DNS и перенаправить сетевые запросы на собственный сервер. Далее они воспользовались уязвимостью path traversal в ПО Sony, чтобы записать вредоносную DLL в каталог System32.

➡️При следующем подключении эмулятора под видом устройства Sierra Wireless эта библиотека загружалась уже с правами SYSTEM. В результате исследователи смогли получить удалённую командную оболочку (reverse shell).

#news #research #security

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Исследователи из Массачусетского университета на конференции USENIX Security продемонстрировали атаку Zombie Card. Атака позволяет расплачиваться банковской картой Visa Kernel 3 после окончания ее срока действия.

Как должна работать проверка срока карты
У бесконтактной EMV-карты есть несколько участников:
💳карта → 😀POS-терминал →🏦 банк/платёжная сеть → 💰банк-эмитент

Карта передаёт терминалу набор данных. В частности, в данных карты присутствует срок действия (Application Expiration Date, поле 5F24). Терминал использует его при принятии решения, можно ли продолжать транзакцию, а банк-эмитент получает информацию о сроке действия карты из другого поля с тегом 57 - Track 2 Equivalent Data.

В чём заключается атака Zombie Card
1️⃣Исследователи взяли просроченную карту. Однако сама карта при этом не перестаёт обладать криптографической способностью участвовать в EMV-транзакции. Истечение срока — это прежде всего политика обработки транзакции.

2️⃣Далее они поместили между картой и терминалом специальное NFC-оборудование, которое действует как man-in-the-middle (MitM). Оно перехватывает определённые данные, проходящие между картой и терминалом, и изменяет их на лету вследствие того, что они криптографически не связаны друг с другом.

❗️Следует отметить, что успех атаки зависит от политик конкретного банка, используемого платежного ядра и того, как банк проверяет транзакции. Так, например, аналогичная атака против Mastercard, American Express и Discover карт была неудачной.

Как защищаться❓
➡️Сделать дату окончания действия частью криптографически защищённых данных и обеспечить согласованность разных представлений даты.

➡️Эмитент должен самостоятельно проверять, что карта действительно находится в активном состоянии и не была заменена/истёк срок её действия, а не основываться на решении POS-терминала

⚙Специалисты уведомили о проблеме специалистов Visa и затронутых банков еще в 2025 году. Однако по состоянию на текущее время ни в Visa, ни в банках не подтвердили устранение проблемы.

#news #research #security

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🪱 Специалисты представили демоверсию WeWorm — первого червя, распространяющегося через звонки в WeChat на iOS и Android. Просто позвонив жертве (в списке друзей), WeWorm может взломать ее аккаунт и позвонить ее друзьям, распространяя вирус с телефона на телефон. При использовании этого метода злоумышленники могут взломать более миллиарда телефонов (или аккаунтов), лишив людей средств к существованию и разрушив сообщества по всему миру.

🔎Последовательность атаки
Для демонстрации атаки исследователи использовали три телефона:
➡️Первый телефон на Android, Pixel 10a, — это атакующий, который был использован для того, чтобы позвонить на второй телефон, iPhone 17e.

➡️Далее происходит эксплуатация уязвимости для получения доступа к WeChat второго телефона. 

➡️Затем скомпрометированный iPhone уже может позвонить на третий телефон (еще один Pixel 10a), и таким же образом получить доступ к нему. 

Цепочка простая: Атакующий звонит жертве ➡️ жертва становится атакующим ➡️ жертва звонит следующей жертве.

При этом эксплуатация занимает всего несколько секунд и дает полный контроль над аккаунтом WeChat без необходимость жертве хоть как-то взаимодействовать с телефоном.

Полное видео с демонстрацией атаки доступно по ссылке.

⬇Последствия
Злоумышленник может читать и отправлять сообщения, совершать звонки и действовать от имени жертвы. В сочетании с другими Android- и iOS-ошибками, это может привести к полному контролю над устройством.

Причина возникновения❓
Ошибка связана с повреждением памяти в стеке VoIP WeChat. Технические подробности временно не раскрываются. Эта конкретная уязвимость в WeChat — один из примеров множества нетрадиционных направлений атак, которые присутствуют во многих мессенджерах.

Специалисты продолжают изучать другие приложения и направления атак, а также работают совместно с разработчиками приложений над предотвращением данных направлений. Следует отметить, что это может потребовать усилий всей отрасли, поскольку некоторые из них зависят от владельцев платформ.❗️

На сегодняшний день WeChat устранили уязвимость для всех пользователей.

#news #research #security


🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🧠open-kritt

Платформа с открытым исходным кодом для проведения тестирований по безопасности и поиска уязвимостей, которая превращает целенаправленный ИИ-анализ в дедуплицированные ранжированные результаты с настраиваемой проверкой и обогащением.

Для чего нужен инструмент❓
Часто при поиске уязвимостей специалисты указывают модели на весь репозиторий и просят ее найти уязвимости, что является не самым эффективным подходом.

Open·kritt использует целенаправленный подход: разбивает исследование на небольшие четко сформулированные задачи, распределяет их между ИИ-агентами и объединяет результаты в выводы, которые можно проверить и расставить по приоритетности.

📐Функционал
📉Создание рабочих процессов (workflows) — позволяет объединять специализированные промпты в переиспользуемые сценарии для исследований в области безопасности.
📉Запуск сканирования — анализ удалённых или локальных репозиториев и их зависимостей с помощью Codex или Claude Code.
📉Проверка найденных проблем — использование пост-скриптов для валидации уязвимостей, создания proof-of-concept (PoC) и подготовки отчётов.
📉Экспорт результатов сканирования — упаковка канонических результатов, структурированных данных, результатов пост-обработки, отчётов и proof-of-concept в единый ZIP-архив с манифестом, безопасным для передачи третьим лицам. Завершённые сканирования экспортируются полностью; для остановленных или завершившихся с ошибкой сканирований, в которых были найдены проблемы, создаются явно помеченные частичные экспорты. Исходный код отчётов и PoC, содержащий данные, контролируемые атакующим, сохраняется в виде обычного текста.
🖱Расстановка приоритетов среди результатов — применение собственных ранжировщиков критичности, единообразной схемы описания найденных проблем и автоматической дедупликации.

⬇️Установка

git clone https://github.com/Kritt-ai/open-kritt
cd open-kritt
./kritt setup
./kritt start

После запуска необходимо открыть http://localhost:5173.

Агенты с поддержкой инструментов запускаются от имени пользователя root в одноразовых контейнерах для заданий с копиями репозитория, доступными для записи, и прямым доступом в интернет, что позволяет им устанавливать инструменты, компилировать цели, запускать тесты и создавать прототипы.

❗️Запускайте open·kritt на выделенном хосте Docker или виртуальной машине.

#tools #AI #research

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером