Blockchain C2 в npm: ViteVenom меняет правила борьбы с вредоносами

Семь npm-пакетов, 2 420 суммарных загрузок и канал управления и контроля, размещённый на трёх публичных блокчейнах. Таков облик ViteVenom, и число, которое должно беспокоить любого технического руководителя, — не количество загрузок. Это ноль: ноль доменов для изъятия, ноль регистраторов для уведомления, ноль хостинг-провайдеров для судебных запросов. Для любой инженерной организации, работающей с лицензированным криптопродуктом, это меняет экономику реагирования на инциденты так, как ваш текущий регламент не предусматривал.

Эта история важна не только для непосредственных жертв. Команды, принимающие решения с шести- и восьмизначными бюджетами в области SDLC-инструментов, сканеров зависимостей и политики внутренних реестров в следующем квартале, теперь имеют конкретный кейс того, как выглядит «недостижимый C2» на практике. А пересечение с известными угрозами указывает на группировку, связанную с государством, что смещает регуляторный разговор от гигиены разработчиков к санкционным рискам.

Цифры

Как сообщил The Hacker News, исследователь Checkmarx Паван Гудималла выявил семь скоупированных npm-пакетов, опубликованных между 29 июня и 3 июля 2026 года, все они имитировали легитимное пространство имён @vitejs/*. Количество загрузок сильно смещено в сторону одного пакета: @uw010010/vite-tree — 1 070, за ним следуют @vite-tab/tab с 289, @vite-ln/build-ts с 252, @vite-mcp/vite-type с 239, @vite-pro/vite-ui с 200, @vitets/vite-ts с 194 и @vite-ts/vite-ui с 176. Это плотный радиус поражения примерно в две тысячи установок за пять дней.

Эти цифры выглядят незначительными, пока не задуматься о том, что делает зависимость Vite внутри сборки. Это инструмент для фронтенда. Он работает внутри CI-раннеров, ноутбуков разработчиков с ключами подписи и машин с учётными данными, открывающими доступ к стейджинг-окружениям. Десять установок в финтех-компании хуже тысячи установок в репозиториях любителей, и без телеметрии зависимостей, которую большинство команд не ведёт, невозможно узнать, какую аудиторию затронула эта кампания.

Инфраструктурная сторона — вот где расчёты становятся интересными. ChainVeil, более ранняя кампания, которую Checkmarx называет предшественником ViteVenom, использовала четырёхуровневый C2 на базе Tron, Aptos и Binance Smart Chain. Обе кампании используют один и тот же кошелёк Tron, один и тот же аккаунт Aptos и один и тот же хэш транзакции BSC, ведущий к полезной нагрузке вредоноса. Дата активации кошелька — 27 февраля 2026 года, что даёт оператору примерно пятимесячное операционное окно до раскрытия информации в июле.

Сам RAT представляет собой стандартный набор: обратная оболочка, сбор учётных данных, эксфильтрация файлов, внедрение постоянного бэкдора. Ничего нового на уровне конечной точки. Новизна — на один уровень выше, в том, как загрузчик получает полезную нагрузку. Атрибуция теперь изменилась. Согласно обновлению истории, опубликованному 19 июля, активность пересекается с PolinRider — кластером, связанным с северокорейскими акторами, на основе общих кошельков Tron, резервного адреса Aptos и совпадающих ключей XOR-дешифрования. Socket отдельно выявил 108 пакетов и браузерных расширений, связанных с PolinRider в npm, Packagist, Go и Chrome ранее в июле. «Это PolinRider, действующий напрямую против экосистем npm и Vite», — заявила Дженн Майл, сооснователь OpenSourceMalware.

Что действительно нового

Вредоносные npm-пакеты — не новость. Тайпсквоттинг пространства имён @vitejs с помощью скоупированных имён — это небольшая эволюция по сравнению со скоупированными попытками ChainVeil вроде rate-limit-flexible, но команды по безопасности реестров видели это раньше. По-настоящему новое — это цепочка получения данных.

Загрузчик выполняется во время импорта, а не во время установки. Этот единственный архитектурный выбор обходит класс сканеров, которые перехватывают npm install для запуска пакетов в песочницах. Выполнение во время импорта означает, что вредоносное поведение срабатывает только тогда, когда пакет фактически включается в сборку, что в рабочем процессе Vite происходит при запуске dev-сервера или производственной сборке. Ваше сканирование Snyk или Socket на этапе установки не увидит ничего интересного.

Затем загрузчик запрашивает блокчейн Tron для получения последней транзакции с кошелька злоумышленника, декодирует и инвертирует поле данных транзакции, чтобы получить хэш транзакции BSC, запрашивает эту транзакцию BSC для извлечения зашифрованной полезной нагрузки из её входного поля и расшифровывает с помощью жёстко закодированного ключа. Если Tron недоступен, резервный вариант — Aptos. Если оба недоступны — HTTP-откат на традиционный C2-сервер. Блокчейн здесь не для декора. Это основной канал, а изымаемый домен — последний резерв.

Формулировка Гудималлы является ключевой цитатой: «Злоумышленник хранит указатели на полезную нагрузку в виде данных транзакций в публичных блокчейнах, а не в доменных именах, которые можно изъять, что делает инфраструктуру практически невозможной для уничтожения». Это архитектурное утверждение. Чтобы сменить полезную нагрузку, оператору достаточно опубликовать новую транзакцию. Чтобы заблокировать C2, защитникам пришлось бы убедить валидаторов Tron, Aptos или BSC цензурировать конкретные адреса кошельков на уровне протокола — запрос, который ни одна из этих сетей не приспособлена выполнять оперативно. Модель для разработчиков в одной из этих сред можно увидеть в документации EVM: поля входных данных транзакций — это полноценный канал передачи данных, а не поверхность для злоупотреблений с уровнем модерации.

Компартментализация — ещё один показательный признак. Checkmarx отмечает: «Поверхностные различия — разные имена пакетов, разные аккаунты мейнтейнеров, разные кошельки первого уровня, разные пути к вредоносным файлам — соответствуют тому, как единственный оператор разделил бы несколько каналов распространения для ограничения воздействия». Это профессиональное ремесло, а не эксперимент скрипт-кидди.

Что уже учтено для крипто и DeFi

Крипто-инженерное сообщество абстрактно знало, что публичные блокчейны могут служить отказоустойчивыми уровнями данных. Стеганографический C2 на Bitcoin демонстрировался в исследовательских условиях годами. Что не было учтено — это операционная зрелость: работающая четырёхуровневая система с основными и резервными цепочками, функционирующая месяцами, поражающая реальную экосистему разработчиков, связанная с аффилированным с государством актором. Это сочетание переводит угрозу из академического любопытства в строку модели угроз.

Что уже учтено: северокорейские группировки, нацеленные на разработчиков крипто-продуктов. Это было предполагаемой базовой линией с 2023 года. То, что экосистемы Vite и Node являются высокоценными точками входа в команды кошельков, бирж и фронтендов DeFi, тоже не новость для тех, кто еженедельно читает Socket или Phylum.

Что не учтено: аспект соответствия требованиям. Если атрибуция к PolinRider подтвердится, то любая американская биржа, кастодиан или DeFi-протокол, чьи машины разработчиков загружали эти полезные нагрузки, сталкиваются с потенциальным вопросом об ответственности по OFAC — не просто с инцидентом безопасности. Это разговор для главного юрисконсульта, а не для руководителя платформы. Растущий интерес SEC к операционным контролям крипто-компаний означает, что «нас взломали через npm» — уже не та чистая история, что раньше.

Главный юрисконсульт любой лицензированной крипто-компании должен на этой неделе спросить руководителя безопасности, может ли инвентаризация зависимостей по запросу выдать список каждой машины, которая загрузила любой пакет из скоупов, смежных с @vitejs, в период с 29 июня по 3 июля. Если ответ предполагает двухнедельный проект по обнаружению — это и есть результат аудита.

Альтернативная точка зрения

Консенсусная интерпретация состоит в том, что блокчейн C2 — это скачкообразное улучшение для атакующих, и защитники не справляются. Я бы оспорил эту формулировку. Публичный блокчейн C2 не поддаётся обнаружению в том смысле, что канал нельзя изъять, но он чрезвычайно наблюдаем. Каждый указатель на полезную нагрузку — это постоянная, с временной меткой, публично запрашиваемая транзакция. Адрес кошелька злоумышленника теперь скомпрометирован. Каждый паттерн маячкования жертвы при наличии инструментации коррелирует с известным идентификатором в сети.

Традиционный доменный C2 блокируется, но оставляет защитникам почти ничего. Блокчейн-C2 нельзя заблокировать, но он оставляет защитникам криминалистическое золотое дно. Компании по анализу блокчейна уже выполняют эту работу для бирж. Направить те же инструменты на кошельки C2 вредоносов — небольшая задача. Правильный инженерный ответ — не отчаяние, а финансирование стороны наблюдаемости: добавить кошельки злоумышленников в фид угроз, настроить оповещения о любом исходящем трафике со сборочных машин к этим RPC-эндпоинтам и рассматривать известные вредоносные хэши транзакций BSC как IOC.

Выбор между собственной разработкой и покупкой готового решения для сканирования зависимостей также меняется. Вендоры, обнаруживающие только поведение во время установки, теперь явно отстают. Вендоры с анализом во время выполнения и импорта, плюс обогащение данными из блокчейна, становятся обоснованным выбором. Контракты, подписываемые в следующие 90 дней, должны включать эту возможность в техническое задание, а не как пункт дорожной карты.

Ключевые выводы

• Семь пакетов ViteVenom появились в npm с 29 июня по 3 июля 2026 года; крупнейший — @uw010010/vite-tree — набрал 1 070 загрузок до раскрытия информации.
• Полезные нагрузки выполняются во время импорта, а не во время установки, обходя сканирование в песочнице с перехватом установки, на которое большинство SDLC-вендоров по-прежнему полагается.
• C2 живёт в полях данных транзакций Tron, Aptos и BSC, делая традиционные процессы устранения угроз структурно неэффективными, при этом обеспечивая необычно сильную криминалистическую атрибуцию.
• Атрибуция теперь указывает на PolinRider и северокорейских акторов, превращая вопрос гигиены npm в проблему санкций и раскрытия информации для лицензированных крипто-компаний.
• Команды, оценивающие сканеры зависимостей в следующем квартале, должны требовать анализ во время импорта и обогащение данными об угрозах из блокчейна как условия контракта, а не как пункты дорожной карты.

Команды, оценивающие свою позицию в отношении цепочки поставок, должны теперь задавать себе иной вопрос, чем в прошлом году. Не «обнаруживает ли наш сканер тайпсквоттинг», а «если C2 нельзя изъять, как быстро мы можем обнаружить маячок изнутри и кто в нашей компании отвечает на вопрос, когда выясняется, что это — санкционированный актор». Регламент, предполагавший дружественного регистратора и кооперативного хостера, не выдержит столкновения с ViteVenom.