Chiến dịch npm độc nhắm vào hệ sinh thái Vite dùng C2 dựa blockchain để phân phối RAT
"Security researchers identified seven malicious npm packages targeting the Vite frontend ecosystem as part of a software supply chain campaign dubbed ViteVenom. The packages used blockchain-based C2 infrastructure across Tron, Aptos, and Binance Smart Chain to deliver a RAT with reverse shell, credential theft, file exfiltration, and persistence; users are advised to remove the packages, audit dependencies, rotate credentials, and check shell startup files for tampering."
Chiến dịch có thể dẫn tới chiếm quyền từ xa nhờ RAT, đánh cắp thông tin và duy trì truy cập qua persistence. Cơ chế C2 dựa blockchain làm việc tắt/thu hồi hạ tầng trở nên khó hơn đáng kể; đồng thời kích hoạt ở import-time giúp giảm khả năng bị phát hiện khi chỉ quét theo install.
Rủi ro tác động trực tiếp đến quy trình phát triển và phát hành do chuỗi cung ứng phần mềm bị xâm phạm, có thể gây gián đoạn build, rò rỉ dữ liệu và tăng chi phí xử lý sự cố. Việc xoay vòng credentials và rà soát phụ thuộc có thể làm phát sinh thời gian/nguồn lực cho đội kỹ thuật.
Các nhà nghiên cứu bảo mật phát hiện 7 gói npm độc hại nhắm vào hệ sinh thái công cụ Vite trong một chiến dịch software supply chain. Chiến dịch được gắn mã ViteVenom (liên quan mở rộng từ ChainVeil) và được cho là do tác nhân SuccessKey thực hiện. Dữ liệu cho thấy hoạt động có thể bắt đầu từ 27/02/2026.
Điểm đáng chú ý là cơ chế command-and-control (C2) theo mô hình nhiều tầng dựa trên blockchain, trải qua Tron, Aptos và Binance Smart Chain (BSC). Mã độc không chạy khi cài đặt mà kích hoạt ở thời điểm import, đóng vai trò loader: truy vấn blockchain để lấy con trỏ payload, giải mã dữ liệu giao dịch bằng khóa cố định, sau đó tải cấu hình C2 và giai đoạn tiếp theo để triển khai RAT. Nếu truy xuất từ Tron thất bại, nó dùng Aptos; đồng thời có cơ chế dự phòng tải trực tiếp qua HTTP từ máy chủ C2.
Các gói bị phát hiện (xuất bản 29/06–03/07/2026) gồm: @uw010010/vite-tree, @vite-tab/tab, @vite-ln/build-ts, @vite-mcp/vite-type, @vite-pro/vite-ui, @vitets/vite-ts, @vite-ts/vite-ui. Khuyến nghị: gỡ bỏ ngay các gói này, rà soát phụ thuộc trong package-lock/yarn.lock, xoay vòng toàn bộ thông tin xác thực, và kiểm tra các tệp khởi động shell như .bashrc, .zshrc, .profile để phát hiện chỉnh sửa trái phép.