Атака на Mastra AI затронула более 140 npm-пакетов, а Microsoft с высокой уверенностью связала этот инцидент с северокорейской группой Sapphire Sleet, также известной как BlueNoroff. Для разработчиков это еще один неприятный сигнал: даже привычная установка зависимостей теперь может закончиться кражей токенов, API-ключей и криптокошельков на Windows, Linux и macOS.
По данным BleepingComputer, цепочка началась с компрометации npm-аккаунта сопровождающего под именем ehindero, у которого были права на публикацию пакетов в экосистеме Mastra. Получив доступ, атакующие выпустили вредоносные обновления для более чем 140 пакетов в scope @mastra и подмешали в них зависимость easy-day-js. Название выбрано неслучайно: это тайпсквот на популярную библиотеку dayjs, так что на беглом просмотре package.json подвох можно и не заметить.
Дальше все выглядело как классическая supply chain-операция, только с неприятно хорошей инженерной дисциплиной. При установке зараженных пакетов срабатывал postinstall-хук, который запускал обфусцированный дроппер. По версии Microsoft, он отключал проверку TLS-сертификатов, связывался с управляющей инфраструктурой злоумышленников, загружал второй этап и запускал его как отдельный скрытый процесс. То есть вредоносный код не ограничивался разовой закладкой в npm: он тянул полноценную полезную нагрузку уже после установки на машину разработчика.
Второй этап был рассчитан сразу на три платформы: Windows, Linux и macOS. Этот инфостилер собирал данные о системе, истории браузера, установленных приложениях и запущенных процессах. Отдельный интерес у операторов вызвали криптовалютные расширения: вредонос проверял наличие 166 браузерных кошельков, включая MetaMask, Phantom, Coinbase Wallet, Binance Wallet и TronLink. Если коротко, атака на Mastra AI была нацелена не только на корпоративные секреты, но и на все, что можно быстро превратить в деньги.
С точки зрения последствий это особенно неприятно для команд, которые живут внутри JavaScript-стека и автоматизируют сборки через CI/CD, локальные скрипты и внутренние тулчейны. В такой модели достаточно, чтобы один разработчик или один агент сборки подтянул зараженную версию зависимости, а дальше проблема становится не персональной, а инфраструктурной. Утечка токенов доступа, ключей к облачным сервисам или секретов из developer-окружения быстро выходит за пределы ноутбука и превращается в инцидент уже на уровне продукта, компании или клиентских данных.
Microsoft добавила, что системы, которые связывались с командными серверами злоумышленников, демонстрировали и последующую активность, уже знакомую аналитикам по операциям Sapphire Sleet. Речь идет о PowerShell-бэкдоре, который группа использовала и раньше, дополнительных механизмах закрепления, исключениях для Microsoft Defender и вредоносном Windows-сервисе с привилегиями SYSTEM. Для атрибуции это важная деталь: в подобных историях компрометация пакета сама по себе еще не всегда говорит, кто именно за ней стоит, а вот совпадение по инфраструктуре, инструментарию и техникам заметно сужает круг подозреваемых.
Sapphire Sleet давно не выглядит как нишевая APT-группа, интересная только специалистам по threat intelligence. В материале Microsoft ее описывают как государственного игрока из КНДР, который в первую очередь бьет по финансовому сектору. Но набор методов у группы давно шире: кража криптоактивов, вредоносные расширения для браузеров, фальшивые предложения о работе, компрометация цепочек поставок ПО. В апреле 2026 года, по данным Microsoft, та же группа стояла и за отдельной npm-атакой на HTTP-клиент Axios. И вот это уже выглядит не как разовый удачный взлом, а как воспроизводимая стратегия работы с JavaScript-экосистемой.
Для бизнеса здесь плохая новость довольно проста: граница между атакой на разработчика и атакой на компанию почти стерлась. Если раньше зараженный пакет ассоциировался прежде всего с поломкой сборки или странным поведением приложения, то теперь речь чаще идет о краже доступов, секретов и кошельков, а затем о движении внутрь корпоративной среды. Особенно уязвимы команды, где npm-зависимости обновляются автоматически, а контроль за postinstall-скриптами, публикацией внутренних пакетов и использованием токенов в CI настроен по принципу «работает и ладно».
Практический вывод для русскоязычной IT-аудитории здесь скучный, но полезный. Если вы разрабатываете на Node.js, нужно считать npm не просто репозиторием библиотек, а полноценной поверхностью атаки. Проверка publisher-аккаунтов, ограничение прав на публикацию, аудит postinstall-скриптов, более жесткая работа с секретами в средах разработки и сборки, а также контроль за тем, какие версии пакетов реально попадают в прод, давно перестали быть паранойей безопасников. После истории с Mastra AI это уже базовая гигиена команды, которая не хочет однажды выяснить, что утекают не только токены, но и деньги.
Самый неприятный вопрос после этой истории звучит так: сколько еще популярных пакетов в разработческих стеках держатся не на зрелых процессах, а на доверии к одному сопровождающему и привычке нажимать npm install без лишних мыслей. Атака на Mastra AI показывает, что для операторов уровня Sapphire Sleet supply chain в open source остается дешевой точкой входа с очень дорогими последствиями для тех, кто по-прежнему считает зависимость просто зависимостью.