lotusbail: לפי Koi, חבילת npm מזויפת ל-WhatsApp גנבה הודעות ופרטי חשבון
חבילת npm בשם lotusbail התחזתה לספריית WhatsApp Web API, עבדה כמצופה וגנבה הודעות ואנשי קשר. לפי Koi Security היא הורדה מעל 56 אלף פעמים, ו-npm החליפה אותה ב-23 בדצמבר 2025.
TL;DR בקצרה
- לפי Koi Security, החבילה lotusbail היא פיצול זדוני של הספרייה Baileys. היא הורדה מעל 56 אלף פעמים והייתה ב-npm כחצי שנה לפחות.
- החבילה עובדת כמו ספריית WhatsApp אמיתית, אבל עוטפת את החיבור וגונבת אסימונים, הודעות, אנשי קשר וקבצי מדיה.
- היא מקשרת מכשיר של התוקף לחשבון WhatsApp, והגישה נמשכת גם אחרי הסרת החבילה, עד שמסירים את המכשיר המקושר.
- לפי רשומת npm, ב-23 בדצמבר 2025 החליפה npm את החבילה בחבילת אבטחה ריקה.
חבילת npm בשם lotusbail התחזתה לספריית WhatsApp Web API, עבדה כמצופה, וגנבה הודעות, אנשי קשר ופרטי התחברות. לפי Koi Security, היא הורדה מעל 56 אלף פעמים. BleepingComputer דיווחה על כך ב-22 בדצמבר 2025. ב-23 בדצמבר החליפה npm את החבילה בחבילת אבטחה ריקה.
איך lotusbail עבדה: ספרייה אמיתית עם מעטפת זדונית
החבילה היא פיצול של Baileys, ספרייה שמאפשרת לאפליקציות לשלוח ולקבל הודעות WhatsApp. לפי הדיווחים, היא שמרה על הפונקציונליות הרגילה של הספרייה. חוקר Koi בשם Tuval Admoni אמר שהיא עובדת בפועל כ-API של WhatsApp, ולכן לקורבן אין סיבה לחשוד.
הטריק הוא מעטפת. lotusbail עוטפת את חיבור ה-WebSocket שמדבר עם WhatsApp. כל הודעה שעוברת באפליקציה עוברת קודם דרך הקוד הזדוני. אחר כך היא ממשיכה ליעד כרגיל.
הקוד מצפין את המידע הגנוב לפני השליחה, בעזרת RSA מותאם אישית ושכבות עיוות. לפי BleepingComputer, יש בו גם 27 לולאות אינסופיות שמקשות על ניתוח וניפוי שגיאות.
כדאי להבין את ההקשר. Baileys אינה ספרייה רשמית של Meta. מפתחים של בוטים ואוטומציות נשענים עליה כדי לדבר עם WhatsApp בלי ה-API הרשמי. פיצול, או fork, הוא עותק של קוד שמישהו משנה ומפרסם בשם אחר. לכן שם דומה בחיפוש ב-npm יכול להוביל לחבילה זדונית.
מה lotusbail גנבה, ולמה הסרת החבילה אינה מספיקה
לפי BleepingComputer, החבילה גונבת אסימוני אימות ומפתחות סשן. היא מקליטה הודעות שנשלחו ונקלטו. היא גם אוספת רשימות אנשי קשר, קבצי מדיה ומסמכים.
הפרט החשוב ביותר הוא ההתמדה. בזמן ההתחברות החבילה מקשרת מכשיר של התוקף לחשבון ה-WhatsApp של הקורבן, דרך מנגנון הצימוד של WhatsApp. הגישה הזו נשארת גם אחרי שמוחקים את החבילה. היא נעלמת רק כשמסירים ידנית את המכשיר המקושר מההגדרות.
ציר הזמן של החבילה ב-npm
רשומת החבילה ב-npm מציגה גרסאות מ-25 במאי 2025, ועוד שורה של גרסאות ביולי. שתי הגרסאות האחרונות, 7.0.10 ו-7.0.11, יצאו ב-17 בדצמבר 2025.
ב-23 בדצמבר 2025 החליפה npm את התוכן בחבילת אבטחה ריקה בגרסה 0.0.1-security. החלפה כזו אמורה למנוע התקנה חדשה של הקוד הזדוני. היא אינה מנקה פרויקטים שכבר התקינו אותו.
איך לבדוק אם lotusbail רצה אצלכם
לא רק מפתחים חשופים. עסק שהזמין בוט WhatsApp מקבלן עלול להשתמש בחבילה בלי לדעת. כדאי לשאול את הקבלן באיזו ספרייה הבוט נשען, ואם יש בה תלויות שאינן רשמיות.
בפרויקט עצמו מחפשים את השם בקובצי הנעילה. בודקים גם חיבורי רשת יוצאים לשרתים שאינם של WhatsApp. ובטלפון, בודקים את רשימת המכשירים המקושרים.
מה זה אומר עבורכם
- חפשו את החבילה: הריצו
npm ls lotusbailובדקו את package.json ואת קובצי הנעילה בכל פרויקט שנוגע ב-WhatsApp. - הסירו אותה: אם היא קיימת, מחקו אותה והחליפו לספרייה הרשמית של Baileys, @whiskeysockets/baileys, או ל-WhatsApp Business Platform.
- נתקו מכשירים מקושרים: ב-WhatsApp היכנסו להגדרות, אל מכשירים מקושרים, והסירו כל מכשיר שאינכם מכירים.
- הניחו שהמידע דלף: אם החבילה רצה אצלכם, הודעות ואנשי קשר חשופים. בנו מחדש את הסשן ויידעו את מי שצריך.
- הקשיחו את התלויות: נעלו גרסאות, בדקו כל תלות חדשה, ועקבו אחרי חיבורי רשת יוצאים בזמן התחברות.
מקורות והרחבה
- Malicious npm package steals WhatsApp accounts and messagesBleepingComputer
- Poisoned WhatsApp API package steals messages and accountsThe Register
- lotusbail (npm registry record)npm
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
