Охота за токенами Discord и данными банковских карт: новая вредоносная кампания распространяется через заражённые пакеты NPM с открытым исходным кодом
26 июля исследователи «Лаборатории Касперского» выявили вредоносную кампанию, получившую название LofyLife. Злоумышленники охотились за токенами пользователей Discord и данными банковских карт, привязанных к их аккаунтам, а также отслеживали действия своих жертв. Атакующие использовали четыре заражённых пакета, распространяющие вредоносные программы Volt Stealer и Lofy Stealer в репозитории с открытым исходным кодом NPM.
NPM-репозиторий — это общедоступная коллекция пакетов с открытым исходным кодом, широко используемых во внешних веб-приложениях, мобильных приложениях, роботах и роутерах, а также для различных нужд сообщества JavaScript. Популярность репозитория повышает опасность кампании LofyLife, поскольку она могла затронуть многочисленных пользователей репозитория.
Выявленные вредоносные пакеты были предназначены для обычных задач, таких как форматирование заголовков, однако они содержали сильно видоизменённый* вредоносный код на JavaScript и Python. Это затрудняло анализ опубликованных в репозитории пакетов. Вредоносная нагрузка пакетов состояла из двух троянских программ — написанного на языке Python троянца Volt Stealer и более функционального троянца на языке JavaScript, получившего название Lofy Stealer.
Атакующие использовали Volt Stealer для кражи с заражённых устройств токенов Discord и IP-адресов жертв и загрузки их через HTTP. Lofy Stealer способен заражать файлы клиента Discord и отслеживать действия жертвы — когда пользователь входит в систему, меняет адрес электронной почты или пароль, включает или отключает многофакторную аутентификацию и добавляет новые способы оплаты. Причём вредонос может отследить полные данные кредитной карты. Собранная информация также загружается на серверы, контролируемые злоумышленниками.
«Разработчики в значительной степени полагаются на репозитории с открытым исходным кодом — они используют их для ускорения и повышения эффективности в процессе создания IT-решений. Однако, кампании, подобные LofyLife, показывают, что даже авторитетным репозиториям нельзя доверять по умолчанию — весь код, который IT-специалисты внедряют в свои продукты, попадает под их собственную ответственность. Мы добавили средства обнаружения нового вредоносного ПО в наши решения, поэтому их пользователи смогут узнать о заражении и удалить вредоносы», — комментирует Леонид Безвершенко, эксперт по кибербезопасности «Лаборатории Касперского».
Продукты «Лаборатории Касперского» детектируют вредоносное ПО LofyLife как Trojan.Python.Lofy.a, Trojan.Script.Lofy.gen.
Подробнее о кампании можно прочитать на Securelist.
* Видоизменённый для усложнения анализа (обфусцированный).
похожие материалы
Российские организации столкнулись с новой волной атак через уязвимости в необновлённых серверах TrueConf
Эксперты «Лаборатории Касперского» обнаружили новую многоступенчатую атаку группировки Head Mare на российские организации с применением бэкдоров PhantomCore и PhantomGraph.
Реестр отечественного ПО должен гарантировать защиту
Такую позицию обозначил Владимир Рубанов, в прошлом член экспертного совета Минцифры, в настоящем — член правления Ассоциации «РУССОФТ», в третьем выпуске подкаста «IT-фронтир» от Astra Cloud (входит в «Группу Астра»).
CSS в письмах позволил атаковать Gmail, Outlook и другие почтовые сервисы
Исследователь PortSwigger Гарет Хейс показал на Black Hat USA 2026 серию атак, при которых вредоносный CSS внутри обычного HTML-письма выходит за границы сообщения и вмешивается в интерфейс веб-почты.
Эксперт назвал признаки мошеннических сайтов
Мошеннические сайты можно распознать по подмене доменного имени, ошибкам в текстах, небрежной верстке и попыткам получить конфиденциальные данные.
Детские смарт-часы позволили незаметно следить за владельцем
Исследователи безопасности Вангелис Стикас и Фелипе Солферини обнаружили серьезные уязвимости в инфраструктуре недорогих детских GPS-часов.
OpenAI допустила наличие у новой ИИ-модели критических возможностей для кибератак
OpenAI заявила, что предварительные испытания разрабатываемой модели Astra показали настолько высокий уровень автономных возможностей в сфере кибербезопасности, что компания пока не может исключить достижение моделью уровня Critical - максимального порога киберриска в собственной Preparedness Framework.
Обзор кибератак и уязвимостей за прошедшую неделю: 3 - 7 августа 2026 года
Редакция Кибер Медиа собрала главные события прошедшей рабочей недели: в фокусе оказались применение нейросетей в медицинских исследованиях, новые способы кражи Passkey из Chrome, масштабное хищение биткоинов из аппаратных кошельков, опасное поведение ИИ-агентов во время кибертестов и атаки на крупнейшие финансовые компании США.
MAX откроет API для сторонних приложений, но доступ получат только отобранные разработчики
Национальный мессенджер MAX объявил о планах открыть API для создания альтернативных клиентских приложений и кастомных пользовательских сценариев.
Минцифры опровергло планы ограничить детям доступ к соцсетям
Минцифры России заявило, что не планирует вводить обязательные ограничения на доступ несовершеннолетних к социальным сетям и мессенджерам.
ИИ-модель Meta* взломала стороннюю компанию во время тестирования
Одна из ИИ-моделей Meta* получила незапланированный доступ в интернет во время проверки ее возможностей в сфере кибербезопасности и воспользовалась уязвимостью в инфраструктуре сторонней компании.