Programe malware PhantomRaven

Cercetătorii în domeniul securității cibernetice au descoperit un atac extrem de activ asupra lanțului de aprovizionare software, care vizează ecosistemul npm. Au fost identificate peste 100 de pachete rău intenționate, capabile să fure acreditări sensibile ale dezvoltatorilor, inclusiv token-uri de autentificare, secrete CI/CD și acreditări GitHub, direct de pe mașinile compromise.

Campania, cu numele de cod PhantomRaven, a apărut pentru prima dată în august 2025. De atunci, s-a extins la 126 de biblioteci npm și a acumulat peste 86.000 de instalări, demonstrând răspândirea și adoptarea rapidă a acestor pachete malițioase.

Pachete rău intenționate care zboară sub radar

Câteva dintre pachetele semnalizate includ:

• op-cli-installer – 486 descărcări
• importuri neutilizate – 1.350 de descărcări
• badgekit-api-client – 483 de descărcări
• polyfill-corejs3 – 475 de descărcări
• comentarii-eslint – 936 de descărcări

Ceea ce face ca PhantomRaven să fie deosebit de insidios este utilizarea Dependențelor Dinamice la Distanță (RDD). În loc să preia cod din registrul oficial npm, pachetele rău intenționate indică către o adresă URL HTTP personalizată (packages.storeartifact.com). Acest lucru permite npm să preia dependențele dintr-o sursă externă nesigură, ocolind efectiv protecțiile npmjs.com.

Scanerele de securitate tradiționale și instrumentele de analiză a dependențelor nu reușesc să detecteze aceste RDD-uri, deoarece sistemele automate văd pachetele ca având „0 Dependențe”.

Cum funcționează atacul

Lanțul de atac începe imediat ce un dezvoltator instalează unul dintre pachetele aparent benigne. Elementele cheie includ:

Executarea hook-ului de preinstalare : Pachetul conține un script pentru ciclul de viață al preinstalării care execută automat sarcina utilă principală.

Recuperare la distanță a sarcinii utile : Scriptul preia dependența rău intenționată de pe serverul controlat de atacator.

Exfiltrare de date : Odată executat, malware-ul scanează mediul dezvoltatorului pentru adrese de e-mail, colectează detalii despre mediul CI/CD, amprentează sistemul (inclusiv adresa IP publică) și trimite datele către un server la distanță.

Atacatorul poate modifica sarcina utilă după bunul plac, servind inițial cod inofensiv pentru a evita detectarea, înainte de a trimite actualizări rău intenționate odată ce pachetul este adoptat.

Exploatarea punctelor oarbe umane și ale inteligenței artificiale

Alegerea numelor de pachete este deliberată. Actorul vulnerabil folosește o tactică cunoscută sub numele de slopsquatting, în care modelele lingvistice mari (LLM) halucinează cu nume de pachete inexistente, dar cu sunet plauzibil. Dezvoltatorii pot avea încredere în aceste pachete datorită denumirii lor realiste, fără să fie conștienți de amenințarea ascunsă.

După cum notează cercetătorii, PhantomRaven evidențiază sofisticarea tot mai mare a atacatorilor:

• Dependențele dinamice la distanță evită analiza statică.
• Numele de pachete generate de inteligența artificială exploatează încrederea dezvoltatorilor.
• Scripturile ciclului de viață se execută automat fără interacțiunea utilizatorului.

Această campanie subliniază modul în care actorii rău intenționați găsesc modalități inovatoare de a ascunde codul în ecosistemele open-source, exploatând lacunele din instrumentele tradiționale de securitate.

De ce npm este o țintă principală

Problemele reduse ale ecosistemului npm pentru publicarea pachetelor, combinate cu executarea automată a scripturilor de preinstalare, instalare și postinstalare, îl transformă într-o țintă principală. Atacatorii pot ascunde comportamente rău intenționate în scripturile ciclului de viață, adesea fără știrea dezvoltatorului, ilustrând necesitatea unei vigilențe sporite și a unor practici de securitate robuste în mediile de dezvoltare moderne.