Изследователи по киберсигурност откриха група от седем зловредни npm пакета, насочени към екосистемата от инструменти за разработка на потребителски интерфейс Vite, като част от атака срещу веригата за доставки на софтуер.

Кампанията със зловредни пакети, наречена от Checkmarx с кодовото име ViteVenom, представлява разширение на ChainVeil. За последната бе установено, че използва „безпрецедентна“ четиристепенна блокчейн-базирана инфраструктура за командване и управление (C2), обхващаща Tron, Aptos и Binance Smart Chain, за да достави троянски кон за отдалечен достъп (RAT) с възможности за обратна обвивка (reverse shell), събиране на идентификационни данни, извличане на файлове и инжектиране на постоянен заден вход (backdoor).

„Тази тактика прави деактивирането или унищожаването на C2 инфраструктурата изключително трудно“, споделя изследователят от Checkmarx Паван Гудимала в анализ, публикуван миналия месец. Дейността се приписва на злонамерен субект с името SuccessKey, като доказателства за зловредна активност са засечени още на 27 февруари 2026 г., когато са активирани криптовалутни портфейли, свързани с ViteVenom.

Докато тайпоскътинг (typosquatting) пакетите, публикувани в npm във връзка с ChainVeil, са се маскирали като библиотеки за Tailwind, Sass, ORM и инструменти за ограничаване на трафика, последната итерация се фокусира конкретно върху разработчици, създаващи приложения с помощта на JavaScript инструмента за компилиране Vite.

Списъкът с идентифицираните пакети, публикувани между 29 юни и 3 юли 2026 г., е следният:

  • @uw010010/vite-tree (1070 изтегляния)
  • @vite-ln/build-ts (252 изтегляния)
  • @vite-mcp/vite-type (239 изтегляния)
  • @vite-pro/vite-ui (200 изтегляния)
  • @vitets/vite-ts (194 изтегляния)
  • @vite-ts/vite-ui (176 изтегляния)

Друга ключова разлика между двете групи е, че за разлика от неограничените в обхват тайпоскътинг пакети на ChainVeil (например "rate-limit-flexible"), ViteVenom използва имена на пакети с определен обхват (scoped), в опит да имитира пространството от имена "@vitejs/*" и да си придаде вид на легитимност.

Основният аспект, който обединява двете кампании, е използването на споделена инфраструктура от второ ниво (tier-2), използвана за доставяне на RAT. По-конкретно, това включва същия Tron портфейл и Aptos акаунт адреси, които сочат към същата трансакция в Binance Smart Chain (BSC), водеща до зловредния софтуер.

Както и при ChainVeil, зловредният код не се изпълнява по време на инсталирането, а по време на импортирането (import time), което ограничава откриването му от защитните системи на крайните точки. Той действа като инсталатор (loader), като се свързва с блокчейн инфраструктурата, за да получи следващия етап:

  • Запитване към блокчейна на Tron за последната трансакция от портфейла на атакуващия.
  • Декодиране и обръщане на полето с данни на трансакцията за получаване на BSC трансакционен хеш.
  • Запитване към BSC трансакцията за извличане на криптирания зловреден код от нейното входящо поле.
  • Дешифриране на зловредния код с помощта на твърдо кодиран ключ.

„Атакуващият съхранява указатели към зловредния код като данни за трансакции в публични блокчейн мрежи, а не в домейни, които могат да бъдат конфискувани, което прави инфраструктурата почти невъзможна за спиране“, обяснява Гудимала.

Ако методът за извличане на зловредния код чрез Tron се провали, зловредният софтуер използва Aptos като резервен вариант. Зловредният код от своя страна прави запитване към блокчейна, за да извлече C2 конфигурацията и зареждаща програма от следващ етап, отговорна за стартирането на RAT. Успоредно с това съществува и резервен механизъм, който извлича RAT директно от C2 сървъра по HTTP, като напълно заобикаля блокчейна.

На потребителите, които са инсталирали пакетите, се препоръчва незабавно да ги премахнат, да одитират зависимостите си, да подменят всички идентификационни данни и да проверят за неоторизирани промени във файловете .profile, .bashrc и .zshrc.

„Разликите на повърхностно ниво – различни имена на пакети, различни акаунти на поддържащи лица, различни портфейли от първо ниво, различни пътища до зловредните файлове – съответстват на начина, по който един оператор би разделил на части множество канали за разпространение, за да ограничи разкриването си“, посочват от Checkmarx.