24 gói npm bị lợi dụng để lưu trang CAPTCHA giả trên unpkg
"Researchers reported a campaign in which 24 npm packages were used as free hosting infrastructure via unpkg mirrors to serve fake Cloudflare CAPTCHA pages and redirect victims to phishing sites. The abuse relies on mirrored HTML content and external resolver logic, with the redirect destination changing over time from a Microsoft login typosquat to a KeyVal-based dead drop resolver; the article does not describe a software vulnerability or CVE, but rather infrastructure abuse and phishing impact."
Tác động chủ yếu là phishing và lừa người dùng thực hiện hành động không mong muốn; hạ tầng hợp pháp như npm mirror bị lợi dụng để tăng độ tin cậy. Không có CVE hay lỗ hổng phần mềm được nêu.
Có thể gây rò rỉ thông tin đăng nhập, tăng nguy cơ xâm nhập tài khoản và làm phát sinh chi phí xử lý sự cố. Ảnh hưởng vận hành phụ thuộc vào mức độ người dùng truy cập các liên kết bị chuyển hướng.
Các nhà nghiên cứu an ninh đã phát hiện một chiến dịch trong đó 24 gói npm bị dùng như hạ tầng lưu trữ miễn phí để phát tán trang CAPTCHA giả mạo Cloudflare và chuyển hướng nạn nhân tới các trang phishing. Điểm đáng chú ý là mã độc chỉ là một tệp HTML nằm trong gói npm; mục tiêu không phải lây nhiễm trực tiếp cho nhà phát triển, mà là tận dụng npm registry và các mirror như unpkg để lưu trữ nội dung trên một miền đáng tin cậy.
Khi người dùng mở liên kết từ mirror, trang HTML được hiển thị như một trang xác minh Cloudflare hợp lệ, sau đó chạy logic JavaScript để chuyển hướng sang hạ tầng do kẻ tấn công kiểm soát. Ở giai đoạn đầu, đích chuyển hướng là một miền typosquat giả mạo trang đăng nhập Microsoft; sau khi bị chặn bởi Google Chrome Safe Browsing, chiến dịch chuyển sang dùng KeyVal như một dead drop resolver để lấy và giải mã URL đích.
Hiện tại, logic từ xa có thể dẫn người dùng tới ChatGPT hợp lệ, nhưng cấu trúc này có thể bị thay đổi để phục vụ các trang lừa đảo khác. Khuyến nghị: kiểm tra nguồn liên kết, chặn truy cập tới gói/npm mirror đáng ngờ, giám sát redirect bất thường, và rà soát các công cụ bảo mật web để phát hiện CAPTCHA giả và hành vi lợi dụng hạ tầng hợp pháp.