Хакеры подменили коммит в GitHub-репозитории популярной React-библиотеки antd-img-crop и спрятали в коде загрузчик шпионской программы OverLord. Вредоносная цепочка запускается при сборке проекта и угрожает паролям, криптокошелькам и ключам разработчиков. При этом официальный пакет npm не пострадал.
Атаку обнаружили специалисты SafeDep. 31 октября 2026 года злоумышленник с учётной записи сопровождающего проекта принудительно отправил в репозиторий коммит 2aa8504. Запись копировала релиз 4.30.0, сохранив автора, дату 12 марта и сообщение. Библиотека antd-img-crop служит для обрезки изображений в Ant Design и получает около 98 тысяч загрузок в неделю через npm.
В поддельном коммите появился хук "prebuild": "node scripts/prebuild.js". При выполнении обычной команды npm run build сначала запускался вредоносный сценарий. Затем загружался фальшивый установщик deepfake_guard, а следом зашифрованный JavaScript, который расшифровывался и исполнялся непосредственно в памяти. Адрес управляющего сервера вредонос находил через GitLab, используя его как скрытый справочник.
Конечная нагрузка OverLord работает на macOS, Linux и Windows. Программа похищает пароли и cookie браузеров, SSH-ключи, файлы .env, .npmrc и .gitconfig, а также содержимое связки ключей macOS. Под угрозой оказались расширения MetaMask, Phantom и Rabby и около 34 настольных криптокошельков. Для получения дополнительных секретов вредонос показывает поддельный системный запрос пароля.
После заражения OverLord пытается закрепиться в системе под видом программ Google. На macOS создаётся LaunchDaemon com.google.UpdateSupporter, на Linux появляется служба google-agent.service, а в Windows используется задача GoogleUpdateSupporterNode. Помимо кражи информации, программа предоставляет атакующему удалённый доступ к компьютеру.
Исследователи обнаружили ещё два возможных пути заражения. Первый связан с поддельным карьерным порталом реальной криптовалютной компании Amber Group. Сайт подменял команду в буфере обмена, рассчитывая, что посетитель вставит её в терминал. Второй путь, предположительно, проходил через расширение VS Code или Cursor google-dev-tools.google-update-support, которое вредонос удалял после запуска.
Схема напоминает кампанию Contagious Interview, участники которой заманивают разработчиков поддельными вакансиями и заражёнными проектами. Однако сходство методов не доказывает причастность конкретной группировки. В инфраструктуре обнаружены домены icagllmbt[.]space, зарегистрированный 12 октября, и buildwithknexus[.]xyz, зарегистрированный 5 августа и уже недоступный.
Следы атаки появились ещё 21 августа, когда та же учётная запись добавила похожий загрузчик в тему Hugo под названием hugo-paper. Вредоносный код удалили лишь 21 октября. SafeDep считает аккаунт сопровождающего по-прежнему скомпрометированным. Подробности расследования опубликовал Кунал Сингх (Kunal Singh) 3 ноября 2026 года.
Разработчики могут обнаружить подмену по двум признакам. У коммитов, которые раньше имели цифровую подпись, пропадает значок Verified, а в журнале активности репозитория остаётся запись о force-push. Подобные атаки на разработчиков показывают, почему даже знакомый проект нельзя считать безопасным без проверки истории изменений и сценариев сборки.
