Предупреждения антивирусов и npm о коннекторе
Инцидент 1–4 ноября 2026. Данные пользователей не утекали. Реакцию вызвал автозапуск установщика, а не работа с данными.
Кратко
С 1 по 4 ноября 2026 года на части компьютеров с Windows защитные программы останавливали или удаляли коннектор Nulio. 3–4 ноября реестр пакетов npm пометил три версии коннектора (1.1.10, 1.1.11 и 1.1.16) как вредоносные, удалил их и заблокировал наши учётные записи публикации.
Наиболее вероятная причина — поведение установщика: начиная с версии 1.1.14 обычная установка копировала коннектор в папку пользователя, добавляла его в автозапуск при входе в Windows и запускала рабочий процесс без окна. Для защитных программ и сканеров npm такая цепочка выглядит как поведение вредоносной программы. Мы убрали автозапуск из обычной установки. 4 ноября вышла исправленная версия 1.1.21; её номер и контрольные суммы приведены ниже.
Признаков утечки данных нет. Подробности и основания — ниже.
Кого касается
Организаций, в которых коннектор Nulio установлен на компьютере с Windows: любой версии в фоновом режиме, а также версий 1.1.10, 1.1.11 и 1.1.16. Сайт, кабинет и облачный сервис Nulio инцидент не затронул: они не менялись и не прерывались.
Что с данными
Коннектор работает на компьютере пользователя. Данные из 1С он передаёт только ИИ-клиенту, который пользователь сам подключил через Nulio. Других получателей в коде нет. Логин и пароль 1С хранятся в зашифрованном хранилище Windows на компьютере пользователя и в облако Nulio не отправляются.
Независимая проверка 4 ноября подтвердила: пакет версии 1.1.17, последней оставшейся в npm, совпадает с нашим исходным кодом побайтно, кроме меток времени сборки. Ни одна из 16 версий, оставшихся в npm, не содержит скриптов установки, посторонних исполняемых файлов и библиотек. Один из производителей антивирусов, которому мы передали файлы на анализ, ответил, что файл запускателя фонового режима чистый.
Чего мы не можем проверить: три удалённые версии npm стёр без возможности скачать их снова, поэтому их точное содержимое не восстановить. Они собраны из тех же исходников, что остальные версии, и записаны в нашем журнале выпусков. Признаков взлома учётной записи или сборки мы не нашли и попросили npm подтвердить это со своей стороны.
Оценка по 152-ФЗ и GDPR: инцидента с персональными данными нет. Персональные данные не передавались третьим лицам и не терялись; уведомление регулятора и субъектов не требуется. Если ответ npm изменит эту оценку, мы сообщим об этом здесь и письмом.
Причина
Автозапуск в обычной установке был нашим проектным решением ради удобства: не держать окно открытым. Решение оказалось ошибкой. Поведенческий анализ защитных программ и сканеры реестров пакетов оценивают действия, а не намерения, и именно такую цепочку действий считают признаком вредоносной программы. Основание своей пометки npm нам не сообщил. Содержимое кода вердиктов не получило: файл, который удаляли защитные программы, одинаков во всех версиях с 1.0.2 и не имеет вердиктов по хешу ни у одного производителя.
Хронология (UTC)
- 1 ноября. Первые сообщения: защитная программа удалила файл коннектора версий 1.1.0 и 1.1.1 после установки с автозапуском. Затем то же с версией 1.1.3. В 1.1.5 запуск изменён, удаления прекратились.
- 2 ноября. Выпущена 1.1.10 с отдельным запускателем фонового режима; с 1.1.14 фоновый режим включался по умолчанию.
- 3 ноября 12:27. Опубликована запись GHSA-v25g-rj4q-4q96 (тип «malware») для версии 1.1.16. npm отозвал наш токен публикации. Выпуски перенесены в собственный реестр пакетов.
- 4 ноября 01:52. Запись расширена на 1.1.10 и 1.1.11; npm удалил три версии и заблокировал наши учётные записи.
- 4 ноября. Остановлены все выпуски коннектора. Проведена независимая проверка пакетов. Принято решение: автозапуск только по явному выбору пользователя, с предупреждением. Направлены заявки производителям антивирусов и запросы в npm и GitHub. Опубликована эта страница.
Что сделано
- Выпуски коннектора были остановлены до проверки и приёмки на Windows с включённой защитой. После приёмки 4 ноября выпущена версия 1.1.21.
- Все 16 версий, оставшихся в npm, сверены с данными реестра; версия 1.1.17 пересобрана из исходников и сравнена пофайлово.
- Обычная установка снова запускает коннектор в открытом окне и не меняет ничего на компьютере: не копирует себя, не добавляется в автозапуск, не запускает скрытых процессов. Фоновый режим остался, но включается только отдельной командой, и перед включением коннектор предупреждает, что защитные программы могут на него отреагировать.
- Направлены обращения четырём производителям антивирусов: регистрация в программах доверенного программного обеспечения и заявка о ложном срабатывании; файлы переданы двум из них, остальные пришлют порядок загрузки. В npm и GitHub направлены запросы об основаниях классификации и о восстановлении учётных записей. Восстанавливать удалённые версии мы не просим.
- Выпуски публикуются в собственном реестре пакетов. Помеченных версий там нет и не было.
Что ещё не завершено
- Ответы npm и GitHub об основаниях классификации и доступе к учётным записям.
- Ответы трёх из четырёх производителей антивирусов по программам доверенного ПО.
- Подписи кода у коннектора нет: сертификат разработчика не оформлен. До его появления мы публикуем контрольные суммы файлов каждой версии.
Что сделать пользователям
- Если на компьютере стоит версия 1.1.10, 1.1.11, 1.1.16 или любая версия в фоновом режиме, обновите коннектор до 1.1.21. Привязка к организации и настройки баз сохранятся. Инструкция придёт письмом и будет в кабинете.
- Сначала выполните в PowerShell команду nulio-connector uninstall: она убирает фоновый режим, автозапуск и ярлыки, связь с вашей организацией сохраняется. Затем выполните команду установки из кабинета.
- После обновления коннектор работает, пока открыто окно PowerShell. После перезагрузки запустите команду из кабинета снова. Фоновый режим можно включить отдельной командой; коннектор предупредит об этом.
- Не восстанавливайте файлы из карантина антивируса и не добавляйте исключений для старой версии. Новая версия ставит свои файлы.
- Если защитная программа снова отреагирует, напишите на peter.mamrukov@nulio.ru: версия коннектора, название и версия защитной программы, текст предупреждения. Пароли и личные данные не присылайте.
Администраторам и службам безопасности
- Публичная запись: GHSA-v25g-rj4q-4q96 (github.com/advisories), она же OSV MAL-2026-18526. Затронутые записью версии: 1.1.10, 1.1.11, 1.1.16. Исправленной версии запись не называет.
- Исправленная версия: 1.1.21, архив nulio-connector-1.1.21.tgz, SHA-256 251d67606bd4490b6d44c9e1a9266970eaa4dbc05ea1f1f680c5d9372451dbb8. Обычная установка работает в открытом окне; фоновый режим включается только отдельной командой. В архиве лежит список контрольных сумм всех его файлов.
- Предыдущая версия в нашем реестре: 1.1.20, SHA-256 fd6fcb6dba1323c514ec6f6840c366c1f61eff85d14949b543568a12ac29c919. В ней фоновый режим включён по умолчанию; обновите её.
- Файл, который удаляли защитные программы: bin/nulio-connector.js, 780 байт, SHA-256 7d3738debbd508c2aa1da67b6720a9f7ee3168bf38d466fad03474b6aecee6e5, одинаков во всех версиях с 1.0.2.
- Исходящие соединения коннектора: сайт и ретранслятор Nulio; проверка новой версии в реестре пакетов. Других адресов нет.
Обращения и ответы
- Производители антивирусов: четыре обращения от 4 ноября (программы доверенного ПО и заявка о ложном срабатывании). Одна заявка о ложном срабатывании на запускатель фонового режима подтверждена 4 ноября: «файл чистый, не детектируется». Три ответа ожидаются.
- npm: запрос об основаниях классификации, копиях удалённых архивов и признаках компрометации, 4 ноября. Ответа нет.
- GitHub: два запроса о восстановлении учётных записей npm, 4 ноября. Получены подтверждения приёма, ответа нет.
Контакты
Вопросы и сообщения о срабатываниях: peter.mamrukov@nulio.ru. Отвечаем в рабочие дни в течение одного дня. Эту страницу мы обновляем по мере получения ответов; дата последнего изменения — в журнале ниже.
Журнал обновлений страницы
- 4 ноября 2026. Страница опубликована: описание, оценка данных, хронология, обращения.
- 4 ноября 2026. Выпущена версия 1.1.21: обычная установка в открытом окне, фоновый режим только по отдельной команде, список контрольных сумм файлов в архиве. Обновите коннектор по инструкции выше.