Акселератор для Web3 оказался фишингом с бэкдорами от Elastic

Мошенники выдают себя за Web3-акселератор Apex Arena

Операция, маскирующаяся под акселератор для Web3-стартапов, использовала вредоносные npm-пакеты для распространения бэкдоров и стиллеров. Группа создавала видимость легитимности, предлагая бесплатные ИИ-кредиты, инструменты для разработчиков и проводя маркетинговые мероприятия. Мошенники также рекламировали услуги аудита безопасности, которые на деле генерировали поддельные отчеты.

Вредоносные npm-пакеты распространяют бэкдоры и стиллеры

Исследователи Elastic Security Labs обнаружили вредоносный npm-пакет @apexacc/cli. Он стал частью операции, нацеленной на криптовалютные стартапы и их основателей. Группа предлагала бесплатные кредиты на использование моделей Claude и Gemini, распространяла пакеты с бэкдорами и перехватывала трафик больших языковых моделей (LLM). Вредоносное ПО, распространяемое кампанией, включает CloudSyncD для macOS и кастомный стиллер для Windows, который передает украденные данные через Telegram. Все 18 инструментов из пакета @apexacc/audit возвращали сфабрикованные результаты. В ходе тестирования сервис удаленной оценки @apexacc/cli присвоил фиктивному проекту оценку 51/100, сообщив о недоступности ИИ-оценщика.

Целевая аудитория — стартапы и основатели в сфере Web3

Операция нацелена на стартапы и основателей в сфере Web3 и криптовалют. Мошенники создали проект Apex Arena, который позиционируется как частное рабочее пространство для основателей Web3-проектов, поддерживаемое акселератором Apex. На сайте утверждается, что проект имеет более 200 портфельных компаний и привлек свыше 124 миллионов долларов инвестиций. Предлагаемые услуги включают аудит безопасности смарт-контрактов и Web3-приложений с помощью загружаемых инструментов, прямое общение между основателями и инвестиционными менеджерами, а также оценку стартапов с присвоением Apex Score. Группа использовала фальшивые отзывы и присутствие на отраслевых мероприятиях, таких как TOKEN2049 в Сингапуре, для создания видимости легитимности.

Обновиться до актуальных версий и использовать инструменты безопасности

Исследование началось с обнаружения подозрительного поведения пакета @apexacc/cli в системе мониторинга цепочек поставок. Пакет оказался вредоносным с момента публикации. Впоследствии был обнаружен другой вредоносный пакет @apexacc/audit от того же издателя. Вредоносные пакеты @apexacc/cli и @apexacc/audit распространяют исполняемые файлы, которые загружаются из репозиториев GitHub. Эти файлы содержат бэкдоры и перенаправляют трафик LLM на серверы злоумышленников. На Windows вредоносное ПО также пытается изменить политики выполнения и элементы управления безопасностью. На macOS оно загружает и запускает скрипты, маскирующиеся под установщики приложений. Для защиты рекомендуется использовать актуальные версии программного обеспечения и применять инструменты безопасности для мониторинга цепочек поставок.