Các nhà nghiên cứu an ninh mạng đã phát hiện một loạt các gói npm độc hại mới được thiết kế để đánh cắp ví tiền điện tử và dữ liệu nhạy cảm.
Hoạt động này đang được ReversingLabs theo dõi dưới tên chiến dịch Ghost. Danh sách các gói được xác định, tất cả đều được xuất bản bởi người dùng mikilanjillo, như sau:
- react-performance-suite
- react-state-optimizer-core
- react-fast-utilsa
- ai-fast-auto-trader
- pkgnewfefame1
- carbon-mac-copy-cloner
- coinbase-desktop-sdk
"Bản thân các gói này thực hiện phishing mật khẩu sudo để thực thi giai đoạn cuối cùng, và đang cố gắng che giấu chức năng thực sự của chúng, tránh bị phát hiện một cách tinh vi: bằng cách hiển thị các nhật ký cài đặt npm giả mạo," Lucija Valentić, nhà nghiên cứu mối đe dọa phần mềm tại ReversingLabs, cho biết trong một báo cáo được chia sẻ với The Hacker News.
Các thư viện Node.js được xác định, ngoài việc giả mạo tải xuống các gói bổ sung, còn chèn các độ trễ ngẫu nhiên để tạo ấn tượng rằng quá trình cài đặt đang diễn ra. Tại một thời điểm trong bước này, người dùng được cảnh báo rằng quá trình cài đặt gặp lỗi do thiếu quyền ghi vào "/usr/local/lib/node_modules", đây là vị trí mặc định cho các gói Node.js được cài đặt toàn cầu trên các hệ thống Linux và macOS.
Nó cũng hướng dẫn nạn nhân nhập mật khẩu root hoặc administrator để tiếp tục cài đặt. Nếu họ nhập mật khẩu, phần mềm độc hại sau đó sẽ âm thầm truy xuất trình tải xuống giai đoạn tiếp theo, sau đó liên hệ với một kênh Telegram để lấy URL cho payload cuối cùng và khóa cần thiết để giải mã nó.
Cuộc tấn công lên đến đỉnh điểm với việc triển khai một remote access trojan có khả năng thu thập dữ liệu, nhắm mục tiêu vào các ví tiền điện tử và chờ đợi các hướng dẫn thêm từ một máy chủ bên ngoài.
ReversingLabs cho biết hoạt động này có sự trùng lặp với một nhóm hoạt động được JFrog ghi lại dưới tên GhostClaw vào đầu tháng này, mặc dù hiện tại không rõ liệu đây có phải là công việc của cùng một threat actor hay là một chiến dịch hoàn toàn mới.
GhostClaw Sử dụng kho lưu trữ GitHub và quy trình làm việc AI để phân phối Stealer cho macOS
Jamf Threat Labs, trong một phân tích được công bố vào tuần trước, cho biết chiến dịch GhostClaw sử dụng các kho lưu trữ GitHub và quy trình làm việc phát triển có hỗ trợ trí tuệ nhân tạo (AI) để phân phối các credential-stealing payloads trên macOS.
"Các kho lưu trữ này mạo danh các công cụ hợp pháp, bao gồm trading bots, SDK và các tiện ích dành cho nhà phát triển, được thiết kế để trông đáng tin cậy ngay từ cái nhìn đầu tiên," nhà nghiên cứu bảo mật Thijs Xhaflaire cho biết. "Một số kho lưu trữ được xác định đã thu hút lượng tương tác đáng kể, trong một số trường hợp vượt quá hàng trăm lượt star, củng cố thêm tính hợp pháp cảm nhận của chúng."
Trong chiến dịch này, các kho lưu trữ ban đầu được điền bằng mã lành tính hoặc có chức năng một phần và không thay đổi trong một thời gian dài để xây dựng lòng tin giữa người dùng trước khi giới thiệu các thành phần độc hại. Cụ thể, các kho lưu trữ có tệp README hướng dẫn các nhà phát triển thực thi một shell script như một phần của bước cài đặt.
Một biến thể của các kho lưu trữ này có tệp SKILL.md, chủ yếu nhắm mục tiêu vào các quy trình làm việc định hướng AI dưới chiêu bài cài đặt các external skills thông qua các AI agents như OpenClaw. Bất kể phương pháp nào được sử dụng, shell script đều khởi động một quá trình lây nhiễm nhiều giai đoạn kết thúc bằng việc triển khai một stealer. Toàn bộ chuỗi hành động như sau:
- Nó xác định host architecture và phiên bản macOS, kiểm tra xem Node.js đã có sẵn chưa và cài đặt một phiên bản tương thích nếu cần. Quá trình cài đặt diễn ra trong một user-controlled directory để tránh gây ra bất kỳ red flags nào.
- Nó gọi "node scripts/setup.js" và "node scripts/postinstall.js," khiến quá trình thực thi chuyển sang JavaScript payloads, cho phép nó đánh cắp system credentials, phân phối GhostLoader malware bằng cách liên hệ với một command-and-control (C2) server, và loại bỏ dấu vết của hoạt động độc hại bằng cách xóa Terminal.
Script này cũng đi kèm với một environment variable có tên "GHOST_PASSWORD_ONLY," khi được đặt thành 0, nó sẽ hiển thị một full interactive installation flow, hoàn chỉnh với progress indicators và user prompts. Nếu được đặt thành 1, script sẽ khởi chạy một simplified execution path tập trung chủ yếu vào credential collection mà không có bất kỳ extra user interface elements nào.
Điều thú vị là, trong ít nhất một số trường hợp, script "postinstall.js" hiển thị một benign success message, stating the installation was successful and that users can configure the library in their projects by running the "npx react-state-optimizer" command.
Theo một báo cáo từ công ty bảo mật đám mây Panther vào tháng trước, "react-state-optimizer" là một trong số các gói npm khác được xuất bản bởi "mikilanjillo," cho thấy hai clusters of activity này là một và giống nhau:
- react-query-core-utils
- react-state-optimizer
- react-fast-utils
- react-performance-suite
- ai-fast-auto-trader
- carbon-mac-copy-cloner
- carbon-mac-copys-cloner
- pkgnewfefame
- darkslash
"Các gói này chứa một CLI 'setup wizard' lừa các nhà phát triển nhập mật khẩu sudo của họ để thực hiện 'system optimizations'," nhà nghiên cứu bảo mật Alessandra Rizzo cho biết. "Mật khẩu bị đánh cắp sau đó được chuyển đến một comprehensive credential stealer payload mà harvests browser credentials, cryptocurrency wallets, SSH keys, cloud provider configurations, và developer tool tokens."
"Stolen data được chuyển hướng đến các partner-specific Telegram bots dựa trên một campaign identifier được nhúng trong mỗi loader, với credentials được lưu trữ trong BSC smart contract và được cập nhật mà không cần sửa đổi bản thân malware."
Gói npm ban đầu captures credentials và fetches configuration từ một Telegram channel hoặc một trang Teletype.in được disguised as blockchain documentation để deploy the stealer. Theo Panther, malware implements a dual revenue model, nơi income chính là từ credential theft relayed through partner Telegram channels, và income thứ cấp là thông qua affiliate URL redirects stored in a separate Binance Smart Chain (BSC) smart contract.
"Chiến dịch này highlights a continued shift in attacker tradecraft, nơi distribution methods extend beyond traditional package registries into platforms such as GitHub và emerging AI-assisted development workflows," Jamf cho biết. "By leveraging trusted ecosystems và standard installation practices, attackers are able to introduce malicious code into environments with minimal friction."
