101 gói npm độc hại lợi dụng WhatsApp để tự động thêm tài khoản nhà phát triển vào nhóm
"Security researchers identified 101 malicious npm packages in a supply-chain campaign dubbed PhantomSub that abuse the Baileys WhatsApp library to add developers' authenticated accounts to attacker-controlled WhatsApp groups and channels without consent. The packages have been downloaded about 490,000 times and use multiple variants to fetch or embed channel IDs, with some also injecting advertising content into messages; users are advised to remove affected packages, block the groups, and avoid libraries that require personal WhatsApp account linkage."
Rủi ro chuỗi cung ứng phần mềm cao; có thể chiếm dụng phiên WhatsApp đã xác thực và đưa tài khoản vào nhóm/kênh lạ. Việc chèn quảng cáo cho thấy mã độc có thể bị dùng cho mục đích lôi kéo lưu lượng và phát tán nội dung ngoài ý muốn.
Ảnh hưởng vận hành ở mức đáng kể do có thể làm lộ tài khoản, gây nhiễu liên lạc nội bộ và tạo rủi ro uy tín. Các đội phát triển cần rà soát dependency, cập nhật kiểm soát nguồn mở và tăng giám sát với gói npm có hành vi bất thường.
Các nhà nghiên cứu an ninh đã phát hiện 101 gói npm độc hại trong chiến dịch chuỗi cung ứng có tên PhantomSub. Nhóm gói này lợi dụng Baileys, một thư viện WhatsApp mã nguồn mở, để tự động thêm các tài khoản WhatsApp đã xác thực của nhà phát triển vào nhóm và kênh do kẻ tấn công kiểm soát, mà không có sự đồng ý của người dùng.
Theo OX Security, các gói này đã bị tải xuống khoảng 490.000 lần, trong đó 116.000 lượt xảy ra trong 30 ngày gần đây. Phân tích cho thấy có 3 biến thể: một số lấy channel ID từ GitHub khi chạy, một số nhúng trực tiếp trong mã nguồn, và một số khác che giấu bằng cách mã hóa/obfuscate.
Ngoài việc ép theo dõi kênh, một số gói còn chèn nội dung quảng cáo vào tin nhắn hoặc phương tiện do bot gửi. Các nhóm/kênh liên quan chủ yếu là các kênh bot, thị trường và quảng bá dịch vụ, nhiều khả năng nhắm tới cộng đồng phát triển và người dùng ở khu vực Đông Nam Á.
Khuyến nghị: gỡ bỏ các gói bị ảnh hưởng, kiểm tra tài khoản WhatsApp đã bị thêm vào nhóm/kênh lạ, chặn các nhóm đó, và thiết lập quy tắc phát hiện để ngăn chặn gói npm Baileys độc hại. Nên tránh các thư viện yêu cầu liên kết với tài khoản WhatsApp cá nhân nếu không thật sự cần thiết.