Троян проник в npm-пакеты, которые еженедельно загружают более 1 млн раз

[Article Publisher]

В npm обнаружена еще одна крупная атака на цепочку поставок, затронувшая 17 популярных пакетов GlueStack @react-native-aria. В пакеты, загруженные более миллиона раз, был добавлен вредоносный код, работающий как троян удаленного доступа (RAT).

Атака на цепочку поставок обнаружили специалисты компании Aikido Security, которые заметили обфусцированный код, внедренный в файл lib/index.js следующих пакетов:

Имя пакета	Версия	Число еженедельных загрузок
@react-native-aria/button	0.2.11	51 000
@react-native-aria/checkbox	0.2.11	81 000
@react-native-aria/combobox	0.2.10	51 000
@react-native-aria/disclosure	0.2.9	3
@react-native-aria/focus	0.2.10	100 000
@react-native-aria/interactions	0.2.17	125 000
@react-native-aria/listbox	0.2.10	51 000
@react-native-aria/menu	0.2.16	22 000
@react-native-aria/overlays	0.3.16	96 000
@react-native-aria/radio	0.2.14	78 000
@react-native-aria/switch	0.2.5	477
@react-native-aria/toggle	0.2.12	81 000
@react-native-aria/utils	0.2.13	120 000
@gluestack-ui/utils	0.1.17	55 000
@react-native-aria/separator	0.2.7	65
@react-native-aria/slider	0.2.13	51 000
@react-native-aria/tabs	0.2.14	70 000

Так как пострадавшие пакеты популярны и их еженедельно скачивают около 1 020 000 человек, исследователи предупредили, что атака может иметь самые серьезные последствия.

Как отмечают журналисты издания BleepingComputer, компрометация началась на прошлой неделе, 6 июня 2025 года, когда в npm была опубликована новая версия пакета @react-native-aria/focus. С тех пор 17 из 20 пакетов GlueStack @react-native-aria были скомпрометированы.

По словам экспертов, вредоносный код сильно обфусцирован и добавляется в последнюю строку исходного кода файла с добавлением большого количества пробелов. По этой причине его нелегко заметить при просмотре кода на сайте npm.



Исследователи отмечают, что вредоносный код практически идентичен трояну удаленного доступа, обнаруженному в прошлом месяце, в ходе изучения другой атаки на цепочку поставок в npm.

Внедренная в пакеты малварь подключается к управляющему серверу злоумышленников и получает от него команды для выполнения. Среди них:

• cd — изменить текущий рабочий каталог;
• ss_dir — сменить директорию на путь скрипта
• ss_fcd:<path> — принудительно изменить каталог на <path>;
• ss_upf:f,d — загрузить отдельный файл f в место назначения d;
• ss_upd:d,dest — скачать все файлы из каталога d в пункт назначения dest;
• ss_stop — установить флаг остановки, прерывающий текущий процесс загрузки;
• любой другой ввод — рассматривается как шелл-команда и выполняется через child_process.exec().

Кроме того, троян также подменяет переменную среды PATH, добавляя в ее начало фальшивый путь (%LOCALAPPDATA%\Programs\Python\Python3127). Это позволяет малвари тихо перехватывать вызовы python и pip и выполнять вредоносные двоичные файлы.

Специалисты Aikido Security попытались связаться с разработчиками GlueStack и сообщить о компрометации, создавая issue на GitHub для каждого из репозиториев проекта, но не получили ответа. В итоге эксперты уведомили о проблемах администраторов npm, но обычно процесс удаления занимает несколько дней.

Эксперты связывают эту атаку со злоумышленниками, которые ранее скомпрометировали четыре других пакета в npm: biatec-avm-gas-station, cputil-node, lfwfinance/sdk и lfwfinance/sdk-dev.

После того как информация об этой атаке попала на страницы СМИ, разработчики GlueStack отозвали токен доступа, который использовался для публикации вредоносных пакетов, и теперь они помечены в npm как устаревшие.

«К сожалению, отменить публикацию скомпрометированной версии не удалось из-за зависимых пакетов, — пишет представитель GlueStack на GitHub. — В качестве профилактической меры я отозвал затронутые версии и обновил последний тег, чтобы он указывал на безопасную старую версию».