Досье mastra-npm-sapphire-sleetЦепочка поставок ИИВесь мир
Северокорейская Sapphire Sleet захватывает аккаунт мейнтейнера и троянизирует более 140 npm-пакетов Mastra AI
Злоумышленники захватили аккаунт npm-мейнтейнера «ehindero» и выпустили обновления более чем 140 пакетов @mastra, добавив тайпсквоттинговую зависимость easy-day-js, чей postinstall-дроппер загружал кроссплатформенный инфостилер, охотящийся за 166 расширениями криптокошельков.
КритическаяАтака на ИИСтатус: ЛокализованПроверенное досье
Открыть на интерактивной картеЦитировать это досье
- Дата сообщения
- 17 июн. 2026
- Локация
- Весь мир
- Цель
- Разработчики, использующие фреймворк AI-агентов @mastra
- Критичность
- Критическая
- Инициатор
- Sapphire Sleet (BlueNoroff)
- Тип субъекта
- Государственный
- Сектор
- Технологии и вендоры ИИ
- Заявленные убытки
- Не заявлены
- CVE
- Нет
Что произошло
Злоумышленники захватили аккаунт npm-мейнтейнера «ehindero» и выпустили обновления более чем 140 пакетов @mastra, добавив тайпсквоттинговую зависимость easy-day-js, чей postinstall-дроппер загружал кроссплатформенный инфостилер, охотящийся за 166 расширениями криптокошельков.
Последствия: Заражено более 140 пакетов; стилер собирал сведения о хосте, историю браузеров и данные расширений кошельков на Windows, macOS и Linux с закреплением в системе; число жертв не раскрыто
Кто стоит за инцидентом
Субъект: Sapphire Sleet (BlueNoroff)
Атрибуция: Microsoft с высокой степенью уверенности оценила, что PowerShell-бэкдор, тактика и C2-инфраструктура совпадают с Sapphire Sleet — северокорейской группировкой, стоящей также за атакой на npm-пакет Axios в апреле 2026 года
Мотив: Кража учётных данных, API-ключей, токенов и криптовалютных кошельков для получения дохода
Как это произошло
Вектор атаки: Захваченный аккаунт мейнтейнера, публикующий вредоносные версии; postinstall-хук отключал проверку TLS и запускал обфусцированный дроппер, который запускал скрытый стилер второго этапа
Первопричина: Единственный аккаунт мейнтейнера с правами публикации на всю область пакетов и без дополнительных мер защиты релизов
Хронология
- Microsoft раскрывает компрометацию npm-пакетов Mastra
- Обновление Microsoft атрибутирует активность Sapphire Sleet
- BleepingComputer сообщает о последующих PowerShell-бэкдорах и службах с правами SYSTEM на хостах, с которыми связались
Реагирование
Microsoft опубликовала анализ и атрибуцию; меры по устранению со стороны npm и Mastra в отчётах не детализированы
Текущий статус: Локализован
Источники (открываются в новой вкладке)
- BleepingComputer bleepingcomputer.com
- BleepingComputer npm tag bleepingcomputer.com
Цитировать это досье
Северокорейская Sapphire Sleet захватывает аккаунт мейнтейнера и троянизирует более 140 npm-пакетов Mastra AI. AI Threat Watch, досье mastra-npm-sapphire-sleet, 17 июн. 2026. https://aithreat.io/ru/cases/mastra-npm-sapphire-sleet/
Постоянная ссылка: https://aithreat.io/ru/cases/mastra-npm-sapphire-sleet/