Amazon приписала взлом npm-пакетов debug и chalk северокорейской группе Sapphire Sleet

Что произошло

В сентябре 2025 года были скомпрометированы npm-пакеты debug и chalk. Сопровождающего заманили на поддельный домен npm с помощью фишинга, после чего злоумышленники протолкнули как минимум в 18 пакетов скрипт, подменявший адреса криптокошельков. Суммарно эти пакеты собирают более 2 млрд загрузок в неделю. Десять месяцев инцидент числился как обычная кража криптовалюты: первоначальные отчёты Aikido и Wiz никого конкретно не обвиняли.

29 июля 2026 года подразделение Amazon Threat Intelligence со «средней степенью уверенности» заявило, что за атакой стоит та же группа, что взломала пакет axios в марте 2026 года. Microsoft отслеживает её как Sapphire Sleet, Google — как UNC1069; у обоих гигантов атрибуция axios появилась в течение двух суток. Взломы же debug, chalk и тестового пакета typo-crypto получили «национальность» лишь через десять и шестнадцать месяцев.

Доказательства тоньше заявления

Amazon ссылается на общий почерк: троянизированные пакеты, post-install-хуки, повторное использование кода и пересекающиеся индикаторы управляющих серверов. Но компания не уточняет, какое именно доказательство связывает какой инцидент. Между тем механика атак различалась: в debug и chalk работал браузерный перехватчик, подменявший API кошельков и не оставлявший следов в системе, тогда как axios полагался на post-install-хук npm.

Журналисты The Hacker News проверили и сам typo-crypto. Пакет версии 4.3.0 до сих пор доступен в реестре, не объявляет install-скриптов, а его хеши совпадают с записями реестра. При этом единственная версия была создана и опубликована с разницей в 204 миллисекунды 31 марта 2025 года, аккаунт публикации не совпадает с указанным автором, а описание и ключевые слова скопированы у проекта crypto-js. Это больше похоже на пакет, изначально созданный как подделка, чем на «компрометацию сопровождающего с последующим обновлением», как описывает все три кампании Amazon. Вдобавок заявленный хеш файла core.js не нашёлся ни в одном файле архива.

«Старые новости»

Компания Aikido, обнаружившая сентябрьскую атаку, охладила пафос Amazon: связь с КНДР, по её словам, давно обсуждается в сообществе, а сам взлом — «классическая КНДР» по методу. Напомним, что на кону стояли скромные суммы: по данным Socket, сентябрьские кошельки собрали около 600 долларов.

Реестр тем временем меняется. Версия npm 12 от 8 июля отключила lifecycle-скрипты по умолчанию, а с 28 июля npm сканирует новые публикации на вредоносный код перед установкой. Но, как отмечают наблюдатели, ни то, ни другое не закрывает главную лазейку — компрометацию доверенного сопровождающего.

Источник: The Hacker News