Kẻ gian dùng gói npm giả mạo để phát tán mã độc và đánh cắp dữ liệu AI
"A fake Web3 accelerator, Apex Accelerator (tracked as REF8801), distributed malware via malicious npm packages (@apexacc/cli, @apexacc/audit, and others) targeting Windows and macOS systems. The packages promised AI credits and security audits but instead delivered information stealers, backdoors, and fabricated security findings. The attackers used techniques like HTTP POST requests for verification and multiple stages of obfuscated downloads to deploy malware."
Chiến dịch này sử dụng gói npm độc hại để cài đặt mã độc trên hệ thống của nạn nhân, có thể dẫn đến mất dữ liệu và xâm phạm quyền riêng tư.
Các startup Web3 có thể bị tổn thất tài chính và uy tín do mã độc và đánh cắp thông tin. Việc khắc phục hậu quả có thể tốn kém và mất thời gian.
Một nhóm tấn công sử dụng các gói npm độc hại để phát tán mã độc cho hệ thống Windows và macOS, giả mạo là chương trình tăng tốc Web3. Các gói này, bao gồm @apexacc/cli và @apexacc/audit, hứa hẹn tín dụng AI cho Anthropic Claude và Google Gemini, cùng các công cụ bảo mật. Tuy nhiên, chúng lại cài đặt công cụ đánh cắp thông tin và backdoor.
Doanh nghiệp Việt Nam, đặc biệt là các startup Web3, cần cẩn trọng khi cài đặt các gói npm từ nguồn không rõ. Việc kiểm tra kỹ lưỡng các gói trước khi sử dụng là rất quan trọng để tránh bị xâm nhập.
Apex Accelerator (REF8801) nhắm mục tiêu các startup tiền điện tử và người sáng lập. Các gói npm này, dù không còn khả dụng, từng quảng cáo tính năng hỗ trợ AI và quét bảo mật. Một chiến dịch tương tự đã được SafeDep ghi nhận vào tháng 7 năm 2026 với các gói @apexfdn/apex, @copilot-mcp/apex và @apexfdn/copilot-mcp.
Nhóm tấn công sử dụng các tên miền như apexaccs[.]org và apexfdn[.]xyz. Họ còn cố gắng tạo dựng uy tín bằng cách tham gia các hội nghị như TOKEN2049 ở Singapore. Sau khi cài đặt, các gói npm không cung cấp chức năng như quảng cáo. @apexacc/audit tạo ra kết quả bảo mật giả mạo, còn @apexacc/cli trả về đánh giá không hợp lệ. Thay vào đó, chúng tải xuống CloudSyncD (backdoor macOS) và một công cụ đánh cắp thông tin Windows tùy chỉnh, gửi dữ liệu qua Telegram. Quá trình lây nhiễm bao gồm nhiều giai đoạn tải xuống và giải mã phức tạp, sử dụng HTTP POST request để xác minh. AMSI và ETW cũng bị vô hiệu hóa để tránh bị phát hiện. Chi tiết về quy trình lây nhiễm được mô tả tại Elastic Security Labs.
Bạn có nên kiểm tra lại các gói npm đang sử dụng để đảm bảo an toàn?
Câu hỏi thường gặp
Apex Accelerator là gì?
Apex Accelerator là một nhóm tấn công sử dụng các gói npm giả mạo để phát tán mã độc. Họ nhắm mục tiêu các startup Web3 và người sáng lập, hứa hẹn các dịch vụ không tồn tại.
Các gói npm độc hại hoạt động như thế nào?
Các gói npm này, như @apexacc/cli và @apexacc/audit, tải xuống và cài đặt mã độc trên hệ thống Windows và macOS. Chúng sử dụng nhiều giai đoạn tải xuống và giải mã để tránh bị phát hiện.
Dữ liệu nào có thể bị đánh cắp?
Công cụ đánh cắp thông tin có thể thu thập dữ liệu từ ví tiền điện tử, lịch sử duyệt web, ứng dụng nhắn tin, và các ứng dụng khác trên hệ thống bị nhiễm.
Góc nhìn của Orange Cloud
Theo chúng tôi, chiến dịch này cho thấy sự gia tăng của các cuộc tấn công nhắm vào chuỗi cung ứng phần mềm, đặc biệt là các gói npm. Các doanh nghiệp Việt Nam cần tăng cường bảo mật bằng cách sử dụng các công cụ quét lỗ hổng và kiểm tra tính toàn vẹn của gói. Điều đáng chú ý là việc tham gia các sự kiện ngành và tạo dựng uy tín không đảm bảo an toàn; cần luôn xác minh nguồn gốc và chức năng của phần mềm.