PhantomRaven trên npm bị nghi dùng LLM để tạo mã độc đánh cắp thông tin
"CrowdStrike reported that a financially motivated actor behind the PhantomRaven npm information stealer likely used an LLM to generate the malware, citing verbose comments, placeholder code, and token-pattern analysis. The campaign used malicious npm packages and remote dynamic dependencies to steal developer credentials, CI/CD secrets, and system data; no CVE was disclosed, and the operator appears to have used the stolen data to identify bug bounty opportunities rather than sell it."
Nguy cơ đánh cắp bí mật phát triển và xâm nhập chuỗi cung ứng phần mềm; có thể ảnh hưởng đến tài khoản GitHub và hệ thống CI/CD.
Có thể gây rò rỉ mã nguồn và secret, làm gián đoạn quy trình build/deploy và tăng chi phí ứng phó sự cố.
CrowdStrike cho biết một tác nhân có động cơ tài chính đứng sau chiến dịch PhantomRaven trên npm nhiều khả năng đã dùng LLM để viết mã độc, dựa trên comment dài, mã khung và phân tích mẫu token. Chiến dịch này phát tán hơn 100 gói npm độc hại nhằm đánh cắp token xác thực, bí mật CI/CD và thông tin đăng nhập GitHub từ máy của nhà phát triển.
Mã độc sử dụng remote dynamic dependency (RDD) để tải thành phần độc hại từ máy chủ bên ngoài, giúp các gói trên kho không dễ bị công cụ bảo mật phát hiện. Sau khi được cài đặt, nó thu thập email, dấu vân tay hệ thống, địa chỉ IP công khai, thông tin môi trường Git/npm và biến môi trường từ GitHub Actions, GitLab CI, Jenkins và CircleCI.
CrowdStrike cho biết tác nhân này hoạt động từ tháng 11/2022 và tự nhận là bug bounty hunter. Dữ liệu bị đánh cắp chưa được thấy xuất hiện trên các chợ bán log stealer, cho thấy mục tiêu có thể là tìm cơ hội nhận thưởng thay vì bán dữ liệu. Đội ngũ kỹ thuật nên rà soát phụ thuộc npm, kiểm tra gói cài đặt lạ, và xoay vòng ngay các secret CI/CD nếu nghi ngờ bị lộ.