AI-drevet PromptMink-kampanje mot skadelig programvare

Forskere innen nettsikkerhet har avdekket ondsinnet kode skjult i en npm-pakke etter at en skadelig avhengighet ble introdusert i et prosjekt gjennom kode medforfattet av Anthropics Claude Opus store språkmodell (LLM). Oppdagelsen fremhever hvordan trusler i programvareforsyningskjeden utvikler seg gjennom misbruk av AI-assisterte utviklingsarbeidsflyter.

Pakken i sentrum av kampanjen, «@validate-sdk/v2», ble presentert på npm som et programvareutviklingssett for hashing, validering, koding og dekoding, og sikker tilfeldig generering. I virkeligheten var den designet for å stjele sensitive hemmeligheter fra kompromitterte systemer. Etterforskere bemerket indikatorer som tydet på at pakken kan ha blitt «vibe-kodet» ved hjelp av generativ AI. Den ble først lastet opp til npm i oktober 2025.

PromptMink knyttet til nordkoreansk trusselaktivitet

Forskere har kalt kampanjen PromptMink og tror den er knyttet til den nordkoreanske trusselaktøren Famous Chollima, også kjent som Shifty Corsair. Denne gruppen har tidligere vært knyttet til den langvarige operasjonen Contagious Interview og svindelforsøk med IT-arbeidere.

Kampanjen demonstrerer et fortsatt fokus på økosystemet med åpen kildekode, spesielt miljøer knyttet til kryptovaluta og Web3-utvikling.

AI-medforfattet Commit introduserte farlig avhengighet

Den ondsinnede pakken ble lagt inn via en commit den 28. februar til et autonomt handelsagentlager. Denne commiten ble angivelig medforfattet av Anthropics Claude Opus-modell. Når den ble inkludert, gjorde pakken det mulig for angripere å få tilgang til kryptovaluta-lommebøker og stjele penger.

Avhengighetskjeden beveget seg gjennom flere pakker. '@validate-sdk/v2' var oppført i '@solana-launchpad/sdk', som deretter ble brukt av en tredje pakke kalt openpaw-graveyard. Denne pakken ble beskrevet som en autonom AI-agent som er i stand til å bygge en sosial identitet på Solana-kjeden gjennom Tapestry Protocol, handle kryptovaluta gjennom Bankr og samhandle med andre agenter på Moltbook.

En kildekode-commit fra februar 2026 la til den forurensede avhengigheten, noe som førte til at ondsinnet kode ble kjørt og lekket legitimasjonsinformasjon som kunne eksponere lommebokressurser.

Lagdelt infeksjonsstrategi utformet for å unngå deteksjon

Angriperne brukte en faseinndelt pakkestruktur. De første pakkene virket rene og inneholdt ingen åpenbar skadelig kode. I stedet importerte de sekundærpakker der den virkelig skadelige funksjonaliteten var lagret. Hvis én skadelig sekundærpakke ble oppdaget eller fjernet, ble den raskt erstattet.

Noen pakker på første lag som ble identifisert i kampanjen inkluderte:

@solana-launchpad/sdk
@meme-sdk/trade
@validate-ethereum-adresse/kjerne
@solmasterv3/solana-metadata-sdk
@pumpfun-ipfs/sdk
@solana-ipfs/sdk

Disse pakkene hevdet å tilby kryptovalutrelaterte funksjoner og inkluderte mange pålitelige avhengigheter som axios og bn.js, noe som hjalp dem å virke legitime. Skjult blant disse pålitelige bibliotekene var det et mindre antall ondsinnede avhengigheter.

Snikteknikker brukt av angriperne

Trusselaktører brukte flere metoder for å redusere mistanke og forbedre utholdenhet:

• Å lage skadelige versjoner av funksjoner som allerede finnes i legitime populære biblioteker
• Bruk av typosquatting-pakkenavn og -beskrivelser som lignet sterkt på pålitelige verktøy
• Dele opp skadevaren i en harmløs laster og en nyttelast i andre trinn
• Raskt roterende, fjernede eller oppdagede sekundære pakker

Den første kjente pakken knyttet til kampanjen, «@hash-validator/v2», ble lastet opp i september 2025.

Utvidelse utover npm og utvikling av skadelig programvare

Forskere bemerket tegn på denne aktiviteten måneder senere, noe som bekreftet bruken av transitive avhengigheter for å kjøre ondsinnet kode på utviklermaskiner og stjele verdifulle data. Kampanjen ble senere utvidet til Python Package Index gjennom en ondsinnet pakke kalt scraper-npm, lastet opp i februar 2026 med lignende funksjonalitet.

Nyere versjoner av operasjonen etablerte angivelig vedvarende fjerntilgang via SSH og brukte Rust-kompilerte nyttelaster til å stjele hele kildekodeprosjekter og åndsverk fra infiserte systemer.

Fra enkel tyveri til flerplattformtrussel

Tidlige versjoner av skadevaren var obfuskerte JavaScript-tyveriprogrammer som rekursivt søkte i fungerende kataloger etter .env- og .json-filer før de forberedte dem for eksfiltrering til et Vercel-hostet domene som tidligere var koblet til Famous Chollima-aktivitet.

Senere versjoner innebygde PromptMink som et enkelt kjørbart Node.js-program. Dette økte imidlertid nyttelaststørrelsen fra omtrent 5,1 KB til nesten 85 MB, noe som gjorde leveringen mindre effektiv. For å overvinne denne begrensningen skal angriperne ha gått over til NAPI-RS, som tillot forhåndskompilerte Node.js-tillegg skrevet i Rust.

Økende risiko for åpen kildekode-forsyningskjede

Kampanjens utvikling fra en enkel informasjonstyver til en spesialisert malware-familie på flere plattformer rettet mot Windows, Linux og macOS viser en betydelig økning i kapasitet. Funksjonene inkluderer nå tyveri av legitimasjon, SSH-bakdørsdistribusjon og tyveri av komplette utviklingsprosjekter.

Forskere konkluderte med at Famous Chollima kombinerer AI-generert kode med lagdelte pakkeleveringsmetoder for å unngå deteksjon og manipulere automatiserte kodeassistenter mer effektivt enn menneskelige utviklere.