В NuGet вычистили вредоноса, за два месяца он мог выстрелить 170 000 раз

В NuGet вычистили вредоноса, за два месяца он мог выстрелить 170 000 раз

В NuGet вычистили вредоноса, за два месяца он мог выстрелить 170 000 раз

Исследователи из JFrog обнаружили новую атаку на цепочку поставок. В каталоге NuGet были найдены 13 вредоносных пакетов, за которыми на момент удаления суммарно числилось около 170 тыс. загрузок.

Вредоносные модули для .NET-проектов были опубликованы в период с 3 января по 12 марта. Чтобы ввести в заблуждение разработчиков софта, злоумышленники использовали тайпсквоттинг.

Наибольшее количество загрузок собрали фейки Coinbase.Core (> 120 тыс.), Anarchy.Wrapper.Net (> 30 тыс.) и DiscordRichPresence.API (> 14 тыс.). Эксперты не исключают, что счет был искусственно вздут с помощью ботов, чтобы усилить иллюзию легитимности.

Вредоносная начинка во всех случаях одинакова: это PowerShell-сценарий, автоматически исполняемый при установке пакета. Скрипт изменяет системные настройки, чтобы снять ограничения на запуск PowerShell, и загружает с удаленного сервера целевой пейлоад — исполняемый файл Windows.

Анализ показал, что это кастомный зловред, умеющий воровать криптовалюту (выводит содержимое кошельков с помощью вебхуков Discord), извлекать и запускать коды из архивов Electron, а также получать с C2 обновления. Уровень детектирования вредоноса очень низкий, штатная защита Windows — Microsoft Defender — его тоже не обнаруживает.

Проведение атаки облегчило наличие в устаревших версиях Visual Studio опции, позволяющей внести вредоносный PowerShell в папку tools пакета NuGet: это обеспечило скрипту автозапуск при определенных событиях — в данном случае при установке модуля. Более новые версии Visual Studio игнорируют install.ps1 и uninstall.ps1, но допускают беспрепятственный запуск init.ps1, и даже не выводят предупреждение.

Подобные механизмы автозапуска, по словам экспертов, являются основной причиной большого количества злоупотреблений в экосистемах NPM и PyPI. На NuGet.org такого разгула до сих пор не наблюдалось.

Помощь вузам обойдется российским ИТ-компаниям в 3% экономии на налогах

Минцифры РФ определилось с критериями оценки взаимодействия ИТ-отрасли с вузами, которое станет обязательным для аккредитованных компаний. Последние должны будут направлять на такие нужды 3% средств, сэкономленных на налогах и страховых взносах.

Согласно подготовленному проекту приказа, компании с годовой выручкой свыше 1 млрд руб. и штатом 100+ обяжут к 1 июня 2026 года заключить соглашения с профильными вузами о финансовой поддержке и помощи в подготовке кадров.

Неисполнение этого предписания грозит потерей ИТ-аккредитации, налоговых льгот и мобилизационной брони.

В соглашение о сотрудничестве в обязательном порядке должно быть включено соучастие в преподавательской работе и подготовке образовательных программ. По желанию стороны могут оговорить и другие меры поддержки — к примеру, возможность стажировки для студентов.

Не возбраняются также другие инициативы специалистов по ИТ — разработка профильных программ для школьников (5-11 классы), организация курсов повышения квалификации для учителей.

Опрошенные «Ведомостями» представители сферы образования отметили необходимость расширения составленного Минцифры списка мер поддержки. Так, можно было бы включить в него проведение совместных работ: преподавателям и студентам не хватает практических знаний / навыков, а сотрудники ИТ-компаний смогут повысить свой уровень как теоретики.

Кроме того, российские вузы испытывают потребность в образовательном контенте, целевых стипендиях для студентов, фондах для поощрения штатных преподавателей.

Комментаторы также отметили, что в помощи со стороны ИТ-отрасли нуждаются не только вузы, но и учреждения среднего профессионального образования (СПО), где все еще преобладает зарубежный софт. Выпускникам необходимо осваивать российские технологии, чтобы потом не переучиваться, устроившись на работу.

Экспертов в области ИТ можно было бы привлечь к проведению олимпиад и госэкзаменов, модернизации учебных лабораторий, разработке программ допобразования для преподавателей СПО.

RSS: Новости на портале Anti-Malware.ru