Ложный Web3-акселератор распространил стилеры через npm-пакеты
Исследователи Elastic Security Labs выявили кампанию REF8801: фальшивый Web3-акселератор Apex Accelerator публиковал npm-пакеты @apexacc/cli и @apexacc/audit, обещая ИИ-кредиты для Anthropic Claude и Google Gemini, инструменты разработки и аудит безопасности. Вместо заявленных функций пакеты доставляли вредоносное ПО для Windows и macOS, а также вмешивались в работу ИИ-агентов.
Операторы выдавали себя за венчурный акселератор для криптовалютных стартапов и их основателей. Пакеты были опубликованы пользователем npm с именем apexaccelerator и связаны с аккаунтом GitHub apexaccs и организацией Apex Foundation. На момент исследования репозитории и пакеты уже стали недоступны.
Вымышленные проверки и настоящий вредоносный код
@apexacc/cli рекламировался как ИИ-советник для Web3-основателей на базе Claude Fable 5 и Gemini 2.5 Flash. Второй пакет позиционировался как MCP-сервер с 18 инструментами для проверки токенов, кошельков и смарт-контрактов. Однако аудит выдавал сфабрикованные результаты, а тест оценки в CLI формировал ничем не подтверждённый вердикт о несуществующем проекте.
Вместо этого пакеты загружали с релизов GitHub исполняемые файлы для соответствующей операционной системы. Для выбора дальнейшей цепочки они отправляли HTTP POST-запрос на инфраструктуру злоумышленников с обозначением платформы win32 или darwin.
Активность кампании прослеживается как минимум с весны 2026 года. SafeDep в июле описала ещё три npm-пакета, связанные с этой операцией и распространявшие macOS-стилер Atomic Stealer. По данным Elastic, злоумышленники также пытались укрепить доверие присутствием на TOKEN2049 в Сингапуре и других очных мероприятиях.
Что происходило на Windows и macOS
В Windows вредоносная цепочка запускала PowerShell-скрипты и несколько загрузчиков. Финальный стилер собирал сведения о системе, содержимое буфера обмена, снимки экрана, список процессов и данные из криптокошельков, расширений браузеров, мессенджеров, VPN-клиентов, программ удалённого доступа и FTP-приложений.
Исследователи также зафиксировали извлечение из Google Chrome, Microsoft Edge, Mozilla Firefox и Yandex сохранённых паролей, cookie, истории, загрузок и данных профиля. Вредоносный код умел обходить механизм Chrome App-Bound Encryption, а собранные сведения передавал через Telegram.
На macOS пакет загружал скрипт, который устанавливал бэкдор CloudSyncD. Он показывал поддельный системный запрос авторизации, чтобы получить пароль пользователя, затем запускал полезную нагрузку с правами sudo. После сбора сведений об оборудовании и операционной системе бэкдор связывался с внешним сервером для передачи данных и получения следующих задач.
Риск для ИИ-инструментов разработки
Помимо заражения устройств, пакеты могли перехватывать и перенаправлять трафик OpenRouter, а также регистрировать подконтрольный атакующим MCP-сервер в конфигурации агента. Это давало операторам доступ к промптам, истории переписки, фрагментам кода и результатам вызова инструментов в запросах к языковой модели.
Подконтрольный MCP-сервер мог передавать агенту инструкции, названия и описания инструментов, а также допустимые входные параметры. По оценке Elastic Security Labs, это позволяло не только наблюдать за данными, отправляемыми модели, но и влиять на последующие действия агента.
Для бизнеса инцидент показывает, что проверять нужно не только код npm-зависимости, но и заявленные интеграции с LLM и MCP. До установки внешнего CLI или сервера в среду разработки стоит подтвердить издателя, изучить выполняемые сценарии и ограничить доступ инструментов к секретам, исходному коду и маршрутам запросов моделей.