PhantomRaven-malware

Cybersecurityonderzoekers hebben een zeer actieve aanval op de software supply chain ontdekt, gericht op het npm-ecosysteem. Er zijn meer dan 100 kwaadaardige pakketten geïdentificeerd die gevoelige ontwikkelaarsgegevens, waaronder authenticatietokens, CI/CD-geheimen en GitHub-gegevens, rechtstreeks van gecompromitteerde machines kunnen stelen.

De campagne, codenaam PhantomRaven, verscheen voor het eerst in augustus 2025. Sindsdien is de campagne uitgebreid naar 126 npm-bibliotheken en zijn er meer dan 86.000 installaties gegenereerd, wat de snelle verspreiding en acceptatie van deze schadelijke pakketten aantoont.

Kwaadaardige pakketten vliegen onder de radar

Enkele van de gemarkeerde pakketten zijn:

• op-cli-installer – 486 downloads
• ongebruikte-importen – 1.350 downloads
• badgekit-api-client – 483 downloads
• polyfill-corejs3 – 475 downloads
• eslint-comments – 936 downloads

Wat PhantomRaven bijzonder verraderlijk maakt, is het gebruik van Remote Dynamic Dependencies (RDD's). In plaats van code op te halen uit het officiële npm-register, verwijzen de kwaadaardige pakketten naar een aangepaste HTTP-URL (packages.storeartifact.com). Dit stelt npm in staat om afhankelijkheden op te halen van een niet-vertrouwde externe bron, waardoor de beveiliging van npmjs.com effectief wordt omzeild.

Traditionele beveiligingsscanners en hulpmiddelen voor afhankelijkheidsanalyse kunnen deze RDD's niet detecteren, omdat geautomatiseerde systemen de pakketten zien als '0 afhankelijkheden'.

Hoe de aanval werkt

De aanvalsketen begint zodra een ontwikkelaar een van de ogenschijnlijk onschuldige pakketten installeert. Belangrijke elementen zijn:

Uitvoering van pre-installatie-hook : het pakket bevat een script voor de levenscyclus van de pre-installatie dat automatisch de hoofdpayload uitvoert.

Remote Payload Retrieval : het script haalt de schadelijke afhankelijkheid op van de door de aanvaller beheerde server.

Gegevensexfiltratie : Nadat de malware is uitgevoerd, scant deze de omgeving van de ontwikkelaar op e-mailadressen, verzamelt details over de CI/CD-omgeving, maakt een vingerafdruk van het systeem (inclusief openbare IP-adressen) en stuurt de gegevens naar een externe server.

De aanvaller kan de payload naar wens aanpassen. In eerste instantie wordt er onschadelijke code aangeboden om detectie te omzeilen. Zodra het pakket eenmaal in gebruik is, worden er schadelijke updates geïnstalleerd.

Exploiteren van menselijke en AI-blinde vlekken

De keuze van pakketnamen is bewust. De aanvaller maakt gebruik van een tactiek die bekend staat als slopsquatting, waarbij grote taalmodellen (LLM's) niet-bestaande maar plausibel klinkende pakketnamen hallucineren. Ontwikkelaars vertrouwen deze pakketten mogelijk vanwege hun realistische naamgeving, zonder zich bewust te zijn van de verborgen bedreiging.

Zoals onderzoekers opmerken, benadrukt PhantomRaven de toenemende verfijning van aanvallers:

• Externe dynamische afhankelijkheden ontwijken statische analyse.
• Door AI gegenereerde pakketnamen misbruiken het vertrouwen van ontwikkelaars.
• Levenscyclusscripts worden automatisch uitgevoerd zonder tussenkomst van de gebruiker.

Deze campagne onderstreept hoe kwaadwillende partijen nieuwe manieren vinden om code te verbergen in open-source-ecosystemen en daarbij gebruikmaken van lacunes in traditionele beveiligingstools.

Waarom npm een belangrijk doelwit is

De lage frictie bij het publiceren van pakketten binnen het npm-ecosysteem, gecombineerd met de automatische uitvoering van pre-installatie-, installatie- en post-installatiescripts, maakt het een belangrijk doelwit. Aanvallers kunnen kwaadaardig gedrag verbergen in levenscyclusscripts, vaak zonder medeweten van de ontwikkelaar. Dit illustreert de noodzaak van verhoogde waakzaamheid en robuuste beveiligingspraktijken in moderne ontwikkelomgevingen.