Фальшивый Web3-акселератор раздавал вредоносные npm-пакеты под видом бесплатных AI-кредитов

Исследователи Elastic Security Labs Цзя Юй Чан и Дэниел Степаник описали кампанию, в которой злоумышленники маскировались под венчурный акселератор Apex Accelerator для Web3-стартапов. Операция, обозначенная как REF8801, нацелена на основателей криптопроектов: им предлагали бесплатные кредиты на Anthropic Claude и Google Gemini, инструменты для разработки и аудит безопасности.

Приманка через npm

В ход шли два пакета, рассчитанные одновременно на Windows и macOS: @apexacc/cli — якобы «AI-советник для основателей Web3» на базе Claude Fable 5 и Gemini 2.5 Flash, и @apexacc/audit — MCP-сервер с восемнадцатью инструментами для сканирования токенов, кошельков и смарт-контрактов. Пакеты публиковал пользователь npm apexaccelerator, связанный с аккаунтом GitHub apexaccs и структурой под названием Apex Foundation.

Кампания не нова. Ещё в конце июля 2026 года SafeDep описала три других пакета той же группы, которые распространяли macOS-стилер семейства Atomic Stealer (AMOS). С апреля 2026 года с фондом связаны домены apexaccs.org и apexfdn.xyz. По архивным снимкам, фонд обещал инвестиции на 235 000 долларов, гранты и знакомство с венчурными инвесторами. В соцсети X мошенники выходили на разработчиков криптокошельков и торговых инструментов, предлагая вложения и прося запустить их «инструмент для due diligence». Для убедительности группа появлялась на конференциях вроде TOKEN2049 в Сингапуре.

Что на самом деле

Обещанной функциональности пакеты не давали: аудит генерировал выдуманные находки, а оценка проекта возвращала отзыв о несуществующем продукте. Настоящая задача — доставить бэкдор CloudSyncD на macOS и собственный Windows-стилер, выгружающий данные через Telegram.

На Windows цепочка разворачивалась через PowerShell и несколько PyInstaller-загрузчиков с обходом UAC средствами UACME; финальный Go-загрузчик глушил AMSI и ETW, снимал перехваты с ntdll.dll и запускал шелл-код. Стилер собирал данные кошельков, браузерных расширений, мессенджеров, VPN- и FTP-клиентов, а также обходил app-bound-шифрование Chrome, вытаскивая пароли и cookie. На macOS дроппер CloudSyncD выуживал пароль пользователя через фальшивое окно авторизации, чтобы запуститься с правами sudo. Этот бэкдор на прошлом месяце уже описывала Jamf Threat Labs — тогда он распространялся под видом установщика Zoom.

Удар по AI-агентам

Особенность кампании — перехват LLM-трафика. Пакеты перенаправляли запросы к OpenRouter и регистрировали в конфигурации агента подконтрольный злоумышленникам MCP-сервер. В результате атакующие видели промпты, историю переписки, фрагменты кода и вывод инструментов, а также могли подсовывать агенту собственные инструкции, влияя на его дальнейшие действия.

Источник: The Hacker News