Gói npm độc hại indexed-btree ẩn mã tải trong runtime
"A malicious npm package, indexed-btree, was found hiding its loader in runtime application code rather than using install-time lifecycle scripts, likely to bypass newer npm security controls. The package mimicked a legitimate B-tree utility, fingerprinted hosts, beaconed data to Slack and Telegram, and used EtherHiding via a Sepolia smart contract to retrieve encrypted second-stage payloads before removing traces; related malicious packages were also removed from npm."
Rủi ro chuỗi cung ứng phần mềm cao; mã độc né kiểm soát cài đặt bằng cách chạy ở runtime và dùng EtherHiding để tải payload tiếp theo.
Có thể ảnh hưởng đến môi trường phát triển, pipeline CI/CD và làm tăng nguy cơ lây nhiễm diện rộng qua phụ thuộc nguồn mở; cần kiểm tra và gỡ bỏ gói liên quan sớm.
Một gói npm độc hại tên indexed-btree đã được phát hiện che giấu mã tải ngay trong mã ứng dụng lúc chạy thay vì dùng lifecycle scripts như preinstall/postinstall. Cách làm này có thể nhằm né các kiểm soát bảo mật mới của npm v12. Gói này giả mạo một tiện ích B-tree/indexing hợp lệ, nhưng thực tế thực hiện fingerprinting máy chủ, gửi dữ liệu về Slack và Telegram, rồi dùng kỹ thuật EtherHiding để lấy các payload được mã hóa từ một smart contract trên Sepolia testnet trước khi ghép thành giai đoạn tải tiếp theo.
Theo báo cáo, gói và kho GitHub liên quan đã bị gỡ khỏi npm. Dữ liệu công khai cho thấy gói được tải lên từ 18/06/2026 và nhanh chóng đạt hàng triệu lượt tải. Chiến dịch cũng được cho là đã tạo ra khoảng €230.933,57 (tương đương 109 ETH) cho tác nhân đe dọa.
Khuyến nghị cho đội kỹ thuật: không chỉ dựa vào quét lúc cài đặt hay chặn lifecycle scripts, mà cần bổ sung phân tích hành vi runtime, rà soát phụ thuộc nguồn mở, và giám sát các dấu hiệu như beaconing, truy cập blockchain bất thường, hoặc tải mã động từ nguồn ngoài.