Gói npm jscrambler 8.14.0 bị cài mã Rust đánh cắp thông tin khi cài đặt
"A compromised jscrambler npm package release, version 8.14.0, was published with a preinstall hook that executed a cross-platform Rust infostealer during installation. The malware targeted developer secrets including cloud credentials, browser and password-manager data, wallet seeds, and AI tool/API keys; the recommended fix is to remove 8.14.0, upgrade to 8.15.0 or pin to 8.13.0, and rotate any exposed secrets."
Nguy cơ cao do preinstall hook chạy mã độc ngay khi cài đặt và nhắm vào bí mật nhà phát triển. Các điểm then chốt: Rust infostealer đa nền tảng, khả năng persistence trên Windows/macOS, và thu thập dữ liệu nhạy cảm (cloud, trình duyệt, wallet, AI/MCP).
Tác động đáng kể đến vận hành CI/CD và bảo mật tài sản số vì môi trường build có thể chứa cloud keys, deploy tokens và mã nguồn. Điểm then chốt: rủi ro rò rỉ bí mật dẫn tới chiếm quyền tài khoản, và khả năng lan truyền qua các pipeline phụ thuộc vào phiên bản bị ghim trong lockfile.
Một bản phát hành bị xâm phạm của jscrambler trên npm, phiên bản 8.14.0, đã được công bố với preinstall hook thực thi mã độc trong quá trình cài đặt. Theo phân tích của các bên theo dõi chuỗi cung ứng, gói này thả và chạy một Rust infostealer dạng nhị phân bản địa cho Windows, macOS và Linux.
Cơ chế hoạt động: gói bổ sung các tệp trong dist/ gồm setup.js (loader) và intro.js (container ~7.8MB chứa ba nhị phân nén). Khi cài đặt, loader chọn nhị phân theo hệ điều hành, ghi vào thư mục temp với tên ngẫu nhiên, cấp quyền thực thi và chạy ở chế độ tách tiến trình, đồng thời che đầu ra.
Tác nhân nhắm vào dữ liệu nhạy cảm của nhà phát triển như AWS/Azure/GCP credentials, dữ liệu trình duyệt và password manager (Bitwarden), wallet seed phrase, phiên làm việc của các nền tảng chat và lưu trữ, cùng cấu hình công cụ AI/ MCP (ví dụ Claude Desktop, Cursor, Windsurf, VS Code, Zed). Trên Linux, mã có khả năng liên quan đến eBPF; Windows/macOS có kiểm tra chống debug và cơ chế persistence.
Khuyến nghị: gỡ bỏ jscrambler@8.14.0, nâng lên 8.15.0 hoặc ghim về 8.13.0; rà soát lockfile/cache và lịch CI để phát hiện lần cài đặt từ 11/07/2026; nếu đã chạy, xoay vòng toàn bộ bí mật có thể bị truy cập (cloud keys, token npm/GitHub, API key AI/MCP) và thu hồi phiên/điểm truy cập liên quan.