Typosquatting в npm води до пълен компромис на хоста. Зловредният пакет undicy-http таргетира разработчици

Открит е зловреден npm пакет с име undicy-http, използван в supply chain атака срещу разработчици чрез typosquatting.

Пакетът имитира undici, широко използвания HTTP client за Node.js, но вместо легитимна функционалност доставя malware за кражба на данни, отвличане на сесии и remote access до заразената система. JFrog Security публикува анализа на 31 март 2026 г.

Какво е установено

Според JFrog Security, undicy-http@2.0.0 не съдържа реална HTTP client логика. Вместо това разгръща два паралелни payload-а:

• Node.js-базиран remote access trojan (RAT)
• native Windows payload с име chromelevator.exe

RAT компонентът поддържа remote shell, screen streaming, upload на файлове и достъп до microphone и webcam. Вторият payload на Windows е насочен към browser процеси и цели кражба на пароли, cookies, платежни данни, IBAN-и и session tokens от над 50 браузъра и повече от 90 crypto wallet разширения.

Как работи атаката

Инфекцията започва при самата инсталация на пакета.

JFrog описва, че пакетът изпълнява зловреден script, който се стартира скрито, създава persistence и след това разгръща payload-ите. Malware-ът използва няколко механизма за устойчивост, включително scheduled task, registry autorun fallback и Startup folder. Използват се и anti-analysis проверки за sandbox и virtualized среди, както и фалшива DLL грешка, за да не буди съмнение.

На Windows native payload-ът използва direct syscalls, за да инжектира код в browser процеси, като се опитва да избегне user-mode hook-ове на защитни инструменти. Изнесените данни се изпращат през Discord webhooks и Telegram bot, а при по-големи файлове се използват и file-sharing услуги.

Атрибуция и обхват

JFrog свързва пакета с LofyGang на база няколко индикатора, включително author field ConsoleLofy, hardcoded низове и логове на португалски език. Изследването отбелязва и прилики между Windows payload-а и по-широка browser-stealer активност, засичана в рамки, свързани с GlassWorm.

Кампанията е важна, защото използва прост механизъм.

Пакет с почти правилно име превръща нормално install действие в компромис на машината.

Защо това е важно

Това не е просто случай със зловреден пакет.

Това е ясен пример за устойчив проблем в software supply chain сигурността:

1. Developer средите са ценна цел
Лаптопи, CI jobs и локални build системи често съдържат tokens, credentials, session data и достъп до код.

2. Typosquatting продължава да работи
Не е нужен нов exploit. Достатъчни са доверие, бързина и рутинно install поведение.

3. Веригата на доверие в open source остава крехка
Една грешна инсталация може да доведе до риск далеч отвъд първата машина.

DIAMATIX Perspective

Този случай показва защо software supply chain сигурността трябва да се третира като оперативен контрол, а не само като въпрос на developer дисциплина.

Атакуващият не експлоатира уязвимост в Node.js.
Той експлоатира доверие в naming-a на пакетите и install процеса.

Това е важно, защото ефектът не спира до една работна станция.

Когато developer системи, CI/CD runner-и, secrets и browser сесии са част от средата, един зловреден пакет може да се превърне във вход към по-широки бизнес системи.

Практическият отговор е на три нива:

• превенция: контрол върху package sources, review на dependency добавянията, allowlists където е възможно
• откриване: наблюдение за подозрително post-install поведение, необичайни child processes и изходящи връзки от build или developer hosts
• ограничаване: при изпълнен malicious package да се приема риск от изтичане на credentials и tokens, след което да се ротират secrets и да се проверят downstream системи

Това е основният operational извод.

Package installation е част от attack surface.

Източници

JFrog Security Research. Анализ на зловредния npm пакет undicy-http
JFrog Security Research feed. Публични разкрития за malicious packages, обновени на 31 март 2026 г.