Κακόβουλο λογισμικό PhantomRaven

Ερευνητές κυβερνοασφάλειας αποκάλυψαν μια εξαιρετικά ενεργή επίθεση στην αλυσίδα εφοδιασμού λογισμικού που στοχεύει το οικοσύστημα npm. Έχουν εντοπιστεί πάνω από 100 κακόβουλα πακέτα, ικανά να κλέψουν ευαίσθητα διαπιστευτήρια προγραμματιστών, συμπεριλαμβανομένων διακριτικών ελέγχου ταυτότητας, μυστικών CI/CD και διαπιστευτηρίων GitHub, απευθείας από παραβιασμένα μηχανήματα.

Η καμπάνια, με την κωδική ονομασία PhantomRaven, εμφανίστηκε για πρώτη φορά τον Αύγουστο του 2025. Έκτοτε, έχει επεκταθεί σε 126 βιβλιοθήκες npm και έχει συγκεντρώσει περισσότερες από 86.000 εγκαταστάσεις, καταδεικνύοντας την ταχεία εξάπλωση και υιοθέτηση αυτών των κακόβουλων πακέτων.

Κακόβουλα Πακέτα που Πετούν Κάτω από το Ραντάρ

Αρκετά από τα πακέτα που έχουν επισημανθεί περιλαμβάνουν:

• op-cli-installer – 486 λήψεις
• αχρησιμοποίητες-εισαγωγές – 1.350 λήψεις
• badgekit-api-client – 483 λήψεις
• polyfill-corejs3 – 475 λήψεις
• σχόλια-eslint – 936 λήψεις

Αυτό που κάνει το PhantomRaven ιδιαίτερα ύπουλο είναι η χρήση απομακρυσμένων δυναμικών εξαρτήσεων (RDD). Αντί να ανακτούν κώδικα από το επίσημο μητρώο npm, τα κακόβουλα πακέτα παραπέμπουν σε μια προσαρμοσμένη διεύθυνση URL HTTP (packages.storeartifact.com). Αυτό επιτρέπει στο npm να ανακτά εξαρτήσεις από μια μη αξιόπιστη εξωτερική πηγή, παρακάμπτοντας αποτελεσματικά τις προστασίες npmjs.com.

Οι παραδοσιακοί σαρωτές ασφαλείας και τα εργαλεία ανάλυσης εξαρτήσεων δεν εντοπίζουν αυτά τα RDD, καθώς τα αυτοματοποιημένα συστήματα βλέπουν τα πακέτα ως έχοντα «0 Εξαρτήσεις».

Πώς λειτουργεί η επίθεση

Η αλυσίδα επίθεσης ξεκινά μόλις ένας προγραμματιστής εγκαταστήσει ένα από τα φαινομενικά ακίνδυνα πακέτα. Βασικά στοιχεία περιλαμβάνουν:

Εκτέλεση Hook πριν από την εγκατάσταση : Το πακέτο περιέχει ένα σενάριο κύκλου ζωής πριν από την εγκατάσταση που εκτελεί αυτόματα το κύριο ωφέλιμο φορτίο.

Απομακρυσμένη ανάκτηση ωφέλιμου φορτίου : Το σενάριο ανακτά την κακόβουλη εξάρτηση από τον διακομιστή που ελέγχεται από τον εισβολέα.

Απομάκρυνση Δεδομένων : Μόλις εκτελεστεί, το κακόβουλο λογισμικό σαρώνει το περιβάλλον του προγραμματιστή για διευθύνσεις email, συλλέγει λεπτομέρειες του περιβάλλοντος CI/CD, αποτυπώνει το σύστημα (συμπεριλαμβανομένης της δημόσιας IP) και στέλνει τα δεδομένα σε έναν απομακρυσμένο διακομιστή.

Ο εισβολέας μπορεί να τροποποιήσει το ωφέλιμο φορτίο κατά βούληση, αρχικά παρέχοντας ακίνδυνο κώδικα για να αποφύγει τον εντοπισμό πριν προωθήσει κακόβουλες ενημερώσεις μόλις το πακέτο υιοθετηθεί.

Εκμετάλλευση τυφλών σημείων ανθρώπων και τεχνητής νοημοσύνης

Η επιλογή των ονομάτων των πακέτων είναι σκόπιμη. Ο απειλητικός παράγοντας αξιοποιεί μια τακτική γνωστή ως slopsquatting, όπου τα μεγάλα γλωσσικά μοντέλα (LLM) ψευδαισθάνονται ανύπαρκτα αλλά εύλογα ονόματα πακέτων. Οι προγραμματιστές μπορεί να εμπιστεύονται αυτά τα πακέτα λόγω της ρεαλιστικής τους ονομασίας, αγνοώντας την κρυφή απειλή.

Όπως σημειώνουν οι ερευνητές, το PhantomRaven υπογραμμίζει την αυξανόμενη πολυπλοκότητα των επιτιθέμενων:

• Οι απομακρυσμένες δυναμικές εξαρτήσεις αποφεύγουν τη στατική ανάλυση.
• Τα ονόματα πακέτων που δημιουργούνται από την τεχνητή νοημοσύνη εκμεταλλεύονται την εμπιστοσύνη των προγραμματιστών.
• Τα σενάρια κύκλου ζωής εκτελούνται αυτόματα χωρίς την παρέμβαση του χρήστη.

Αυτή η καμπάνια υπογραμμίζει τον τρόπο με τον οποίο κακόβουλοι παράγοντες βρίσκουν νέους τρόπους για να αποκρύψουν κώδικα σε οικοσυστήματα ανοιχτού κώδικα, εκμεταλλευόμενοι τα κενά στα παραδοσιακά εργαλεία ασφαλείας.

Γιατί το npm είναι ένας πρωταρχικός στόχος

Η χαμηλή τριβή του οικοσυστήματος npm για τη δημοσίευση πακέτων, σε συνδυασμό με την αυτόματη εκτέλεση σεναρίων προεγκατάστασης, εγκατάστασης και μετά την εγκατάσταση, το καθιστά πρωταρχικό στόχο. Οι εισβολείς μπορούν να κρύψουν κακόβουλη συμπεριφορά μέσα σε σενάρια κύκλου ζωής, συχνά εν αγνοία του προγραμματιστή, γεγονός που καταδεικνύει την ανάγκη για αυξημένη επαγρύπνηση και ισχυρές πρακτικές ασφαλείας στα σύγχρονα περιβάλλοντα ανάπτυξης.