Злоумышленники распространяют постэксплуатационный фреймворк AdaptixC2 через вредоносный npm-пакет

В октябре 2025 года специалисты «Лаборатории Касперского» обнаружили в популярном хранилище открытого программного обеспечения npm вредоносный пакет https-proxy-utils. Он замаскирован под легитимные инструменты для использования прокси в проектах и позволяет установить на скомпрометированные устройства разработчиков фреймворк AdaptixC2 — опенсорсный аналог известного Cobalt Strike. На данный момент вредоносный пакет удалён.

Это фреймворк с открытой архитектурой, который появился в 2024 году и изначально создан для использования в операциях Red Team. Как и Cobalt Strike, может эксплуатироваться в злонамеренных целях и уже замечен в реальных инцидентах.

Название пакета напоминает имена популярных легитимных файлов http-proxy-agent и https-proxy-agent с приблизительно 70 и 90 миллионами загрузок в неделю соответственно. Внутри — постинсталляционный скрипт, который скачивает и запускает AdaptixC2. Это позволяет злоумышленникам получать удалённый доступ к заражённому устройству, управлять файлами и процессами, а также закрепляться в системе, чтобы проводить анализ сети и разворачивать последующие стадии атаки.

Атакующие меняют способ загрузки AdaptixC2 в зависимости от того, на какой операционной системе работает устройство — Windows, Linux или macOS. Например, на компьютерах под управлением Windows они скачивают AdaptixC2 в качестве DLL-файла в системную директорию C:\Windows\Tasks и запускают его при помощи техники DLL Sideloading. Это вид атаки, когда вредоносная библиотека DLL (Dynamic Linked Library) распространяется вместе с легитимным приложением, которое её выполняет.

«Инцидент с AdaptixC2 демонстрирует растущую тенденцию использования хранилищ открытого программного обеспечения в качестве вектора атак. Подобным угрозам подвержены пользователи и организации, занимающиеся разработкой или применяющие опенсорсное ПО из таких экосистем, как npm, в своих продуктах, — комментирует Владимир Гурский, исследователь угроз в „Лаборатории Касперского“. — Мы также видим, что злоумышленники берут на заметку всё более сложные методы для сокрытия известных инструментов. В описанной кампании они применяли технику DLL Sideloading, которая становится всё более популярной и замечена в инцидентах как в России, так и в других странах. Например, с её помощью распространяется опасный стилер Lumma. Эту технику довольно сложно обнаружить без использования современных средств защиты и ИИ-технологий».