Một tác nhân đe dọa có động cơ tài chính đã bị phát hiện có liên quan đến việc phát triển và phân phối một mã độc đánh cắp thông tin (information stealer) dựa trên JavaScript (JS) có tên là PhantomRaven thông qua kho lưu trữ gói npm.
"Nhà phát triển có khả năng đã viết mã độc này bằng cách sử dụng một mô hình ngôn ngữ lớn (LLM). Đánh giá này được đưa ra với độ tin cậy cao dựa trên các nhận xét (comments) dài dòng, mã giữ chỗ (placeholder code) và các mẫu phân tích token thống kê," nhóm Counter Adversary Operations của CrowdStrike cho biết trong một phân tích được công bố tuần này.
PhantomRaven lần đầu tiên được cảnh báo bởi Koi Security và DCODX vào cuối tháng 10 năm 2025. Cuộc tấn công này gây chú ý với chiến dịch "slopsquatting" và "typosquatting", trong đó hơn 100 gói hàng độc hại đã được tải lên npm để đánh cắp token xác thực, bí mật CI/CD và thông tin đăng nhập GitHub từ máy tính của các nhà phát triển.
Phương thức tấn công chuỗi cung ứng
Cuộc tấn công chuỗi cung ứng phần mềm này đã sử dụng các gói npm làm vỏ bọc để truy xuất một phụ thuộc động từ xa (RDD - remote dynamic dependency) từ máy chủ bên ngoài, giúp các thư viện này không bị các công cụ bảo mật gắn cờ cảnh báo.
Sau khi được cài đặt, mã độc nhúng trong phụ thuộc từ xa sẽ quét môi trường của nhà phát triển để tìm địa chỉ email, thu thập thông tin về môi trường CI/CD, lấy dấu vân tay hệ thống (system fingerprint) bao gồm địa chỉ IP công cộng và truyền kết quả về máy chủ do kẻ tấn công kiểm soát.
Nó cũng được trang bị để thu thập chi tiết thời gian thực (runtime details), ngày giờ hiện tại, tên người dùng và địa chỉ email từ cấu hình Git/npm, cũng như các biến môi trường CI/CD cho GitHub Actions, GitLab CI, Jenkins và CircleCI.
Mục tiêu tìm kiếm tiền thưởng lỗ hổng
Các phát hiện mới nhất từ CrowdStrike cho thấy tác nhân đe dọa này đã hoạt động từ tháng 11 năm 2022 và tự xưng là một thợ săn tiền thưởng lỗ hổng (bug bounty hunter), người đã thu được tiền thưởng từ không dưới chín đơn vị trong các lĩnh vực công nghệ, bán lẻ và khách sạn.
Công ty an ninh mạng này cho biết họ chưa thấy thông tin bị đánh cắp từ mã độc này xuất hiện trên các chợ rao bán dữ liệu (stealer log shops), điều này cho thấy "kẻ vận hành có khả năng chỉ sử dụng mã độc đánh cắp thông tin để xác định các cơ hội săn tiền thưởng lỗ hổng."
Ít nhất hai tài khoản người dùng npm khác nhau do kẻ tấn công duy trì đã được quan sát thấy đang đẩy các gói npm chứa PhantomRaven. Cả hai tài khoản npm này đều không còn truy cập được tính đến thời điểm hiện tại:
- jpdhellonpm1 - transform-jsbi-to-bigint
- jpd15 - sort-imports-es6-autofix
Một số danh tính trực tuyến khác liên quan đến cùng một chiến dịch bao gồm jpd12, jpd13, npmhell, npmpackagejpd, npmtestdharsh, jpdhackerone11 và packagedharsh.
"Vào tháng 8 năm 2025, kẻ tấn công tuyên bố đã phát hiện ra lỗ hổng thực thi mã từ xa (RCE) thông qua một gói npm độc hại mà họ đã xuất bản," nhà nghiên cứu bảo mật Maddie Stewart lưu ý. "Kẻ tấn công giải thích rằng họ đã xâm nhập được máy mục tiêu và thực thi tập lệnh preinstall, được cho là đã cho phép họ đạt được RCE."
Mở rộng sang PyPI và ứng dụng LLM
Ngoài ra, bằng chứng cho thấy tác nhân đe dọa này đã cố gắng đẩy các gói lên kho lưu trữ Python Package Index (PyPI) chứa mã của một công cụ đánh cắp thông tin có những điểm tương đồng với PhantomRaven.
Việc có khả năng sử dụng mô hình ngôn ngữ lớn (LLM) để tạo ra mã độc một lần nữa làm nổi bật cách các tác nhân đe dọa đang ngày càng áp dụng công nghệ này vào hoạt động của chúng, giúp rút ngắn thời gian và công sức cần thiết để thực hiện các chiến dịch như vậy.
"Hầu hết các tác nhân tội phạm [...] thuê các công cụ có sẵn hoặc vận hành mã độc độc quyền của riêng họ; tuy nhiên, kẻ tấn công này có khả năng đã tự phát triển PhantomRaven độc quyền để xâm nhập tài sản công ty và sau đó sử dụng các vụ xâm nhập này làm đòn bẩy để yêu cầu phần thưởng từ các chương trình công bố lỗ hổng uy tín," CrowdStrike cho biết.
