101 малициозни npm пакети ги додаваат WhatsApp профилите на програмерите во групи без нивна согласност

Објавено: 30.09.2026

Истражувачите за сајбер-безбедност идентификуваа кластер од 101 npm пакет кои се користат за да ги вовлечат програмерите во кампања за претплатници на WhatsApp групи, наречена PhantomSub.

„Малициозните пакети го злоупотребуваат open-source проектот Baileys за WhatsApp, за да ги додаваат жртвите во групи без нивна согласност“, изјавија истражувачите од OX Security, Nir Zadok, Moshe Siman Tov Bustan и Vitalii Chepurko, во техничка анализа објавена во понеделникот.

Овие пакети колективно биле преземени 490.000 пати, од кои 116.000 преземања се случиле во последните 30 дена. Некои од имињата на пакетите се наведени подолу:

ourin-baileys
@nexustechpro/baileys
@badzz88/baileys
@ostyado/baileys
levvleys
@vanzxy/baileys
@yudzxml/baileys
@chatunity/baileys
@kelvdra/baileys
neuralwhatsapp
lilys-baileys
@fyxzpediaa/baileys
noxleyss
@xrelly-stack/bails
alipclutch-baileys
kurobails
eliteprotech-baileys
@xayz/baileys
chromestaff-baileys
@sanzoffc/baileys
@sairidev/baileys-new
cloud-baileys
@nyzzpediaa/baileys-new
ishumdz-bail
nishiki-bail
diezyclutch-baileys
oktz-baileys
my-auto-follow

Деталите за оваа активност првпат се појавија во август 2026 година, кога SafeDep соопшти дека идентификувал група npm форкови на Baileys за кои било утврдено дека вршат малициозни активности. Тие активности вклучувале тајно следење на WhatsApp канали контролирани од авторот на пакетот преку WhatsApp профилот на лицето кое го инсталира пакетот, како и вметнување на рекламниот URL на авторот во секоја слика и видео што ги испраќа ботот.

Потоа, на почетокот на овој месец, истражувачкиот тим на Xygeni Security објави детали за уште еден Baileys мод, наречен @dappaoffc/baileys-mod, за кој исто така било утврдено дека ја претплаќа автентифицираната WhatsApp bot сесија на програмерот на newsletter канали контролирани од напаѓачите.

Анализата на OX Security открила три различни варијанти на малициозниот софтвер, при што секоја користи различен начин за обработка на процесот на претплата:

Варијанта 1 (19 пакети) – ги презема ID-јата на каналите од GitHub во моментот на извршување.
Варијанта 2 (60 пакети) – ги содржи ID-јата на каналите директно во изворниот код во читлива форма.
Варијанта 3 (14 пакети) – ги содржи ID-јата на каналите во изворниот код во кодирана и замаскирана форма.

За една од WhatsApp групите се проценува дека е базирана во Индонезија и рекламира профили за мобилни игри и апликации, како што се Mobile Legends: Bang Bang и TikTok. Во овие објави исто така се наведува телефонски број поврзан со индонезиски деловен WhatsApp профил со име „Dan“.

Некои од другите идентификувани групи и канали се наведени подолу:

Neural (798 следбеници) – рекламира продажба на Resource Supplies (RSS) преку JualanRSS, онлајн маркетплејс за продажба на ресурси во играта, како што се храна, руда, камен, дрва и злато.
MONTE – BMG (1.000 следбеници)
CORTANA TECH (1.300 следбеници)
Fyxzpedia.ID – Utama (4.800 следбеници)

„Каналите што успеавме да ги идентификуваме се главно мали канали за продажба на ботови и таканаречени „market“ канали, претежно од Индонезија, каде што бројот на следбеници служи како доказ за популарност при продажба на скрипти за ботови, услуги за изработка на ботови, „premium“ APK-датотеки и услуги за зголемување на активноста на социјалните мрежи“, соопшти OX Security.

„Многу од пакетите во оваа кампања не се независни. Истите ID-ја на каналите, истите листи на оддалечени канали и истите GitHub профили се појавуваат во различни пакети со различни имиња и различни издавачи. Споделен канал значи и споделен корисник: оној што го поседува каналот ги собира следбениците од секој пакет што го таргетира, без оглед на тоа кој го објавил пакетот.“

На програмерите им се препорачува да проверат дали биле додадени во WhatsApp групи, да ги блокираат тие групи, да конфигурираат правила за детекција и блокирање на малициозните npm Baileys пакети и да избегнуваат користење пакети за кои е потребно поврзување на личниот WhatsApp профил.

Извори:

The Hacker News – 101 Malicious npm Packages Add Developers’ WhatsApp Accounts to Groups Without Consent The Hacker News