СреднийII Кибервойна и критическая инфраструктура26 октября 2026 г., понедельник
Червь спрятался в огромных файлах и вооружил 42 репозитория GitHub
JFrog 26 октября сообщила, что распространяющийся через npm червь закрепился в 42 действующих репозиториях GitHub, принадлежащих 11 разным владельцам. Вредоносные обёртки держали в размере 12,9–13,7 МБ, чтобы уйти от поиска по коду в GitHub.
В отчёте от 26 октября исследователи JFrog написали, что червь, распространяющийся через репозиторий пакетов npm, закрепился в 42 действующих репозиториях GitHub у 11 разных владельцев. На собственном аккаунте оператора размещались ещё 17 репозиториев кампании. Захват репозиториев, судя по всему, начался в сентябре.
Отличительная черта кампании — размер. Вредоносные обёртки держат в диапазоне от 12,9 до 13,7 МБ, и все они распаковывают одну и ту же скрытую полезную нагрузку. По оценке JFrog, именно это раздувание выводит из игры поиск по коду и маршруты API GitHub, которые обычно вскрывают подобные заражения.
В репозиториях оставлены хуки запуска для ИИ-ассистентов программирования и среды разработки — файлы настроек, которые сами выполняют код при каждом открытии инструмента. Перед запуском установщик ищет виртуальную машину, контейнер и отладчик и при их обнаружении тихо завершает работу. Червь собирает учётные данные и несёт компонент, который удаляет домашний каталог жертвы, если украденный токен GitHub отзывают.
Оценка Talay
Вывод
Кампания не использует новую уязвимость — она использует ограничение по размеру в инфраструктуре сканирования. Раздувание нагрузки до 13 МБ ослабляет защиту не через качество сигнатур, а через предел масштаба; это структурный пробел, и патчем он не закрывается. Цель — машины разработчиков и конвейеры непрерывной интеграции, поэтому одно заражение способно разойтись по пакетам ниже в цепочке. Компонент, наказывающий отзыв токена удалением данных, рассчитан на то, чтобы отбить у жертвы желание проводить зачистку.
Возможные последствия
- Контроль репозиториев пакетовНегативно1–6 месяцев
Поиск по коду и маршруты API пропускают большие файлы, и это показывает, что обнаружение на основе сканирования привязано к порогу размера и обходится легко.
- Инструменты разработчикаНегативноНедели
Хуки в файлах настроек ИИ-ассистентов программирования превращают каждого разработчика, клонирующего репозиторий, в прямую цель исполнения кода.
- Реагирование на инцидентыНегативноНедели
Отзыв украденного токена запускает компонент удаления домашнего каталога, поэтому при неверном порядке зачистки организации теряют данные.
Вероятные сценарии
- 1Репозитории вводят правило по размеру40 %
GitHub и npm расширяют охват сканирования на большие файлы либо добавляют проверку размера перед публикацией.
Что отслеживать: Сообщение GitHub или npm об охвате поиска по коду
- 2Кампания продолжает расширяться40 %
Тот же оператор продолжает работу под новыми именами пакетов, и число захваченных репозиториев в ноябре растёт.
Что отслеживать: Обновлённое число репозиториев от JFrog или SafeDep
- 3Жертва появляется ниже по цепочке20 %
Один из захваченных репозиториев питает распространённый пакет, и объявляют о вторичном инциденте в цепочке поставок.
Что отслеживать: Сообщение об отравленной версии популярного пакета npm
Вероятности — это откалиброванное суждение на основе источников, а не измерение; они пересматриваются с появлением новых данных. Не является инвестиционной рекомендацией.
Реакция рынка
Затронутые индикаторы
- Вооружённые репозитории▼ 42 репозитория
- Затронутые владельцы▼ 11 владельцев
- Размер обёртки▼ 12,9–13,7 МБ
- Репозитории оператора▼ 17 репозиториев