Gần 800 gói npm độc hại phát tán RAT và infostealer đa nền tảng
"Nearly 800 malicious npm packages were published to deliver a cross-platform RAT and infostealer targeting Windows, macOS, and Linux. The campaign uses a README-instructed require() flow to trigger a downloader that fetches payloads via Cloudflare Workers or DNS TXT records, with platform-specific persistence and defense evasion such as ETW/AMSI patching on Windows; no CVE is mentioned."
Rủi ro cao do chuỗi cung ứng phần mềm bị lợi dụng để phát tán RAT/infostealer trên nhiều hệ điều hành; có dấu hiệu né tránh giám sát và duy trì bám trụ trên máy nhiễm.
Có thể ảnh hưởng đến máy phát triển, môi trường build và dữ liệu nhạy cảm; việc cài đặt gói độc hại có thể dẫn tới gián đoạn vận hành và rò rỉ thông tin.
Một chiến dịch mới đã đưa gần 800 gói npm độc hại lên kho npm registry, nhắm tới Windows, macOS và Linux. Theo phân tích, các gói này không dùng cơ chế preinstall/postinstall như nhiều cuộc tấn công chuỗi cung ứng khác, mà hướng dẫn nhà phát triển gọi require() trong README để kích hoạt mã độc.
Chuỗi tấn công khởi tạo một downloader tên WEL1DROPPER, nhận diện hệ điều hành và kiến trúc CPU, rồi tải payload phù hợp từ các máy chủ Cloudflare Workers hoặc qua DNS TXT records từ miền wel1[.]ru. Ở bước cuối, mã độc được ghi ra thư mục tạm và thực thi bằng /bin/sh hoặc cmd.exe.
Trên Windows, payload có hành vi né tránh giám sát bằng cách vá ETW và AMSI, kiểm tra sandbox/virtual machine, tạo persistence qua Registry Run key và scheduled task. Trên macOS, nó dùng LaunchAgent; trên Linux, mẫu ELF nén bằng UPX có thể dẫn tới triển khai Sliver C2.
Khuyến nghị: rà soát phụ thuộc npm, kiểm tra gói có hướng dẫn bất thường trong README, chặn miền và hạ tầng liên quan, đồng thời giám sát hành vi tải xuống động, thực thi tiến trình tách rời và cơ chế persistence trên máy trạm.