Loading malware…
15 distinct techniques documented for this family, organized by ATT&CK tactic.
In reality, in the post installation stage, it authenticates to GitHub (using an environment token or a hardcoded fallback)
ИБ-специалисты компании OX Security обнаружили в npm вредоносный пакет mouse5212-super-formatter, который маскировался под служебную утилиту для синхронизации данных с GitHub.
OX Security researchers have discovered mouse5212-super-formatter, a malicious npm package acting as an infostealer.
In reality, in the post installation stage, it authenticates to GitHub (using an environment token or a hardcoded fallback), checks whether a target repository exists, creates it if needed, then recursively walks a local directory and uploads every file through the GitHub Contents API.
In reality, in the post installation stage, it authenticates to GitHub (using an environment token or a hardcoded fallback)
In reality, in the post installation stage, it authenticates to GitHub (using an environment token or a hardcoded fallback)
Передача информации дополнительно маскировалась под отправку диагностических сведений: вредонос генерировал фиктивные логи сетевой активности и создавал впечатление, будто занимается обычным мониторингом системы.
Автор малвари пытался выдать свой пакет за инструмент для проверки репозиториев, сбора диагностической информации и синхронизации рабочих файлов.
The malware also wrote a fake “network connections” log during execution, designed to make the activity look like routine diagnostics rather than data theft.
In reality, in the post installation stage, it authenticates to GitHub (using an environment token or a hardcoded fallback)
После установки вредонос авторизовывался на GitHub, используя либо токен из переменных окружения жертвы, либо встроенный в код резервный токен.
performs a structured synchronization of local workspace files into a remote tracking tree ... and then recursively uploads every file
По данным исследователей, вредонос нацеливался на содержимое директории /mnt/user-data. Именно этот каталог используется Claude для хранения загруженных файлов, результатов работы и других данных.
...then recursively walks a local directory and uploads every file through the GitHub Contents API.
The data itself was encoded in base64 during the exfiltration process, a basic obfuscation technique to disguise the outgoing content.
It stores the stolen files under random per-run folder names, which allows for multiple stealing sessions, and exfiltrates the sensitive info using base64 encoding.
The malware authenticated to GitHub using either an environment token or the hardcoded fallback and checked whether a target repository existed, creating one if it did not. It then walked through the local “/mnt/user-data” directory recursively and uploaded every file it found using the GitHub Contents API.
Если такого репозитория не существовало, вредонос создавал его автоматически и начинал рекурсивно выгружать данные жертвы через GitHub Contents API.
2 sources tracked across advisories, community write-ups, and news. New activity surfaces here as Mallory finds it.