AI-driven PromptMink-kampanj mot skadlig kod
Cybersäkerhetsforskare har upptäckt skadlig kod gömd inuti ett npm-paket efter att ett skadligt beroende introducerades i ett projekt genom kod som medförfattats av Anthropics Claude Opus stora språkmodell (LLM). Upptäckten belyser hur hot i programvaruleveranskedjan utvecklas genom missbruk av AI-assisterade utvecklingsarbetsflöden.
Paketet i centrum för kampanjen, '@validate-sdk/v2', presenterades på npm som ett utvecklingspaket för hashning, validering, kodning och avkodning, samt säker slumpmässig generering. I verkligheten var det utformat för att stjäla känsliga hemligheter från komprometterade system. Utredare noterade indikationer som tydde på att paketet kan ha "vibe-kodats" med generativ AI. Det laddades först upp till npm i oktober 2025.
Innehållsförteckning
PromptMink kopplad till nordkoreansk hotaktivitet
Forskare har döpt kampanjen till PromptMink och tror att den är kopplad till den nordkoreanska hotbildsaktören Famous Chollima, även känd som Shifty Corsair. Denna grupp har tidigare kopplats till den långvariga operationen Contagious Interview och bedrägerier mot IT-arbetare.
Kampanjen visar ett fortsatt fokus på ekosystemet med öppen källkod, särskilt miljöer kopplade till kryptovaluta och Web3-utveckling.
AI-medförfattad commit introducerade farligt beroende
Det skadliga paketet infogades via en commit den 28 februari till ett autonomt handelsagentförråd. Denna commit ska enligt uppgift ha skrivits tillsammans med Anthropics Claude Opus-modell. När paketet väl inkluderats gjorde det det möjligt för angripare att få tillgång till kryptovalutaplånböcker och stjäla pengar.
Beroendekedjan rörde sig genom flera paket. '@validate-sdk/v2' listades inuti '@solana-launchpad/sdk', vilket sedan användes av ett tredje paket med namnet openpaw-graveyard. Detta paket beskrevs som en autonom AI-agent kapabel att bygga en social identitet på kedjan på Solana-blockkedjan genom Tapestry Protocol, handla kryptovaluta via Bankr och interagera med andra agenter på Moltbook.
En källkodscommit i februari 2026 lade till det skadade beroendet, vilket orsakade att skadlig kod kördes och läckte inloggningsuppgifter som kunde exponera plånbokstillgångar.
Strategi för infektion i flera lager utformad för att undvika upptäckt
Angriparna använde en fasstruktur för paket. De ursprungliga paketen verkade rena och innehöll ingen uppenbar skadlig kod. Istället importerade de sekundära paket där den verkligt skadliga funktionen lagrades. Om ett skadligt sekundärt paket upptäcktes eller togs bort ersattes det snabbt.
Några första-lagerspaket som identifierades i kampanjen inkluderade:
@solana-launchpad/sdk
@meme-sdk/trade
@validate-ethereum-adress/kärna
@solmasterv3/solana-metadata-sdk
@pumpfun-ipfs/sdk
@solana-ipfs/sdk
Dessa paket påstod sig tillhandahålla kryptovalutarelaterade funktioner och inkluderade många betrodda beroenden som axios och bn.js, vilket hjälpte dem att verka legitima. Dolda bland dessa betrodda bibliotek fanns ett mindre antal skadliga beroenden.
Stealth-tekniker som används av angriparna
Hotaktörer använde flera metoder för att minska misstankar och förbättra uthålligheten:
- Skapa skadliga versioner av funktioner som redan finns i legitima populära bibliotek
- Använda typosquatting-paketnamn och beskrivningar som liknade betrodda verktyg
- Dela upp skadlig programvara i en ofarlig laddare och en nyttolast i andra steget
- Snabbt roterande, borttagna eller upptäckta sekundära paket
Det första kända paketet kopplat till kampanjen, '@hash-validator/v2', laddades upp i september 2025.
Expansion bortom npm och malware-utveckling
Forskare noterade tecken på denna aktivitet månader senare, vilket bekräftade användningen av transitiva beroenden för att köra skadlig kod på utvecklarmaskiner och stjäla värdefull data. Kampanjen utökades senare till Python Package Index genom ett skadligt paket med namnet scraper-npm, som laddades upp i februari 2026 med liknande funktionalitet.
Nyare versioner av operationen etablerade enligt uppgift ihållande fjärråtkomst via SSH och använde Rust-kompilerade nyttolaster för att stjäla hela källkodsprojekt och immateriella rättigheter från infekterade system.
Från enkel stöld till hot på flera plattformar
Tidiga versioner av skadlig kod var obfuskerade JavaScript-stjälare som rekursivt sökte igenom fungerande kataloger efter .env- och .json-filer innan de förberedde dem för exfiltrering till en Vercel-hostad domän som tidigare var länkad till Famous Chollima-aktivitet.
Senare versioner bäddade in PromptMink som en enda körbar Node.js-applikation. Detta ökade dock nyttolastens storlek från ungefär 5,1 kB till nästan 85 MB, vilket gjorde leveransen mindre effektiv. För att övervinna den begränsningen övergick angriparna enligt uppgift till NAPI-RS, vilket möjliggjorde förkompilerade Node.js-tillägg skrivna i Rust.
Växande risk för leveranskedjan med öppen källkod
Kampanjens utveckling från en enkel informationstjuv till en specialiserad familj av skadlig kod för flera plattformar som riktar sig mot Windows, Linux och macOS visar en betydande upptrappning av kapaciteten. Dess funktioner inkluderar nu stöld av autentiseringsuppgifter, SSH-bakdörrsdistribution och stöld av kompletta utvecklingsprojekt.
Forskarna drog slutsatsen att Famous Chollima kombinerar AI-genererad kod med lagerbaserade paketleveransmetoder för att undvika upptäckt och manipulera automatiserade kodningsassistenter mer effektivt än mänskliga utvecklare.
