npm se confruntă cu malware camuflat și spam masiv de tip token-farming

Acasă » Piton » npm se confruntă cu malware camuflat și spam masiv de tip token-farming

Fiind cel mai aglomerat centru al ecosistemului JavaScript, registrul npm se confruntă simultan cu două amenințări foarte diferite: un set mic de pachete care redirecționează discret utilizatorii prin cloaking și o campanie extinsă care publică în masă conținut nedorit pentru a urmări recompensele cripto. Ambele probleme, deși distincte, dezvăluie lacune familiare în apărarea lanțului de aprovizionare.

Cercetătorii din mai multe echipe raportează că Atacatorii au combinat mascarea traficului, automatizarea și distribuția open source fie să direcționeze victimele către destinații dubioase, fie să inunde indexul cu pachete cu valoare redusă la o scară fără precedent. Aceste cazuri evidențiază modul în care stimulentele și instrumentele pot fi denaturate împotriva comunității atunci când barierele de siguranță rămân în urma creativității atacatorilor.

Redirecționările bazate pe cloaking transformă pachetele npm în porți de trafic

Anchetatorii au identificat șapte pachete npm legate de un singur actor care utilizați serviciul Adspect pentru a separa utilizatorii reali de cercetători și ascunde adevărata încărcătură utilăPachetele, atribuite unui cont acum eliminat, numit „dino_reborn”, au apărut între septembrie și noiembrie 2025, cu un număr de descărcări de ordinul sutelor.

Șase dintre pachete conțineau o componentă de aproximativ 39 kB care amprentează mediul, blochează instrumentele dezvoltatorului în browser (pentru a împiedica analiza) și se execută imediat prin modelul IIFE din JavaScript odată importat. Un al șaptelea pachet, „signals-embed”, s-a remarcat prin livrarea unei pagini albe inofensive ca momeală mai degrabă decât un comportament evident rău intenționat.

Când site-urile implantate sunt încărcate, traficul este trimis printr-un punct final proxy la association-googlexyz/adspect-proxyphp, ceea ce ajută la stabilirea dacă vizitatorul arată ca o victimă sau un cercetător. Dacă este etichetat ca victimă, utilizatorul vede un CAPTCHA fals care, în cele din urmă, redirecționează către pagini cu tematică criptografică care uzurpă identitatea serviciilor (de exemplu, StandX). Dacă este semnalizat ca analist probabil, pagina afișează o imagine simplă și fictivă și include chiar și o platformă standard referitoare la o companie fictivă numită Offlido.

Adspect se promovează ca fiind serviciu de cloud cloud cloud pentru blocarea traficului „nedorit”, cum ar fi roboții sau crawlerele antivirus, oferind planuri pe niveluri și promițând „deghizare antiglonț”. Văzând această filtrare în stilul tehnologiei publicitare încorporat în pachetele npm rămâne neobișnuit, iar cercetătorii observă acest lucru în mod eficient încorporează logica de gestionare a traficului în distribuția open source deci codul decide în timp real cine primește o sarcină utilă reală.

Deoarece logica rulează imediat ce se încarcă activul, nu este necesară nicio interacțiune cu utilizatorul pentru a declanșa comportamentulFluxul de execuție imediată – și blocurile la nivel de browser din instrumentele pentru dezvoltatori – complică analiza și ajută la evitarea inspecției superficiale a schemei.

O operațiune de spam npm extinsă, condusă de recompense token

Într-o evoluție separată, echipele de securitate au descoperit o serie extinsă de pachete npm spam publicate în valuri pe parcursul a aproximativ doi ani, inițial apărând benigne, dar concepute pentru replicare și câștig financiar. Cunoscute colectiv sub numele de „IndonesianFoods”, inițiativa a folosit o schemă de denumire consistentă care asociază prenume indoneziene aleatorii cu termeni alimentari și diverse sufixe pentru a genera mii de pachete cu sunet plauzibil.

La prima vedere, multe intrări păreau legitime - unele chiar au fost expediate șabloane funcționale Next.jsDar îngropate înăuntru erau fișiere neutilizate, cum ar fi auto.js or publicareScript.js care, atunci când sunt executate manual, a produs pachete noi la viteză mare, versiuni modificate și bariere de confidențialitate eliminate. Această automatizare ușor de lansat - mai degrabă decât un comportament cu adevărat autonom, asemănător unui vierme - este cea care a alimentat scalarea rapidă.

Rețeaua de spam făcea adesea referire la opt până la zece alte dependențe false, creșterea impactului prin lanțuri de dependențăInstalați unul, iar npm ar putea extrage în mod silențios alte zeci de fișiere, amplificând aglomerația din registru fără niciun prejudiciu imediat și evident pentru mașinile dezvoltatorilor.

Monetizarea pare a fi legată de Recompensele open-source ale protocolului TEAMai multe pachete incluse ceai.yaml indicând conturi și adrese de portofel specifice - sugerând un efort de a umflă scorurile de impact și extrage plăți de token-uriÎn unele cazuri, documentația a chiar evidențiat aceste câștiguri, întărind noțiunea unui plan coordonat, axat pe profit, mai degrabă decât a unei experimentări aleatorii.

Diferite grupuri de cercetare au măsurat valul în diferite etape: rezultatele au variat de la aproximativ 43,000 de încărcări spam la începutul campaniei la peste 100,000 mai târziu, cu Amazon Inspector a raportat în cele din urmă peste 150,000 de pachete în mai multe conturi până la mijlocul lunii noiembrie 2025. Creșterea a expus limitele ratei de registry, verificări ale metadatelor și detectarea modelului ca zone care necesită atenție.

De ce scanerele au ratat acest lucru și ce s-a schimbat

Un motiv cheie pentru care campania a durat atât de mult este că majoritatea sculelor automatizate caută malware în timpul instalării—de exemplu, suspect postinstalare hook-uri sau activitate a sistemului de fișiere. Aici, sarcina utilă era inactivă și nereferințiată, așa că euristicile comune au etichetat-o ​​ca fiind inofensivă. Fără declanșatoare active, scanerele frecvent a tratat fișierele suplimentare ca pe o dezordine benignă.

Un alt factor a fost amploarea și cadența publicării: scripturile ar putea trimite pachete noi la fiecare câteva secunde, creând un volum copleșitor fără a declanșa semnăturile clasice de programe malware. Rapoartele notează că mai multe sisteme de date de securitate au fost inundate de avertismente, inclusiv creșteri masive ale Alerte legate de OSV.

Până la sfârșitul lunii octombrie 2025, Amazon Inspector a implementat o nouă regulă de detectare asociat cu modelarea bazată pe inteligență artificială pentru a identifica trăsături revelatoare precum prezența tea.yaml, cod clonat sau minimal, denumire previzibilă, amprente digitale de generare automată și lanțuri de dependențe circulare. După confirmarea tiparelor la începutul lunii noiembrie, echipa s-a coordonat cu Open Source Security Foundation (OpenSSF) pentru a atribui rapid MAL-ID-uri — timpul mediu de procesare a fost de aproximativ 30 de minute.

O nuanță importantă: unele comentarii timpurii au numit campania un „vierme”. Actualizările ulterioare au clarificat acest lucru Logica de replicare nu se autopropagă; trebuie executată. Acea corecție contează, dar rezultatul—inundarea rapidă și industrializată a coletelor—infrastructura și încrederea registrului sunt încă sub presiune.

Măsuri practice pentru reducerea expunerii

Organizațiile ar trebui să abordeze reducerea riscului npm ca un proces continuu, stratificat, combinând igiena proactivă a dependențelor cu controale bazate pe politici și registru. Următoarele măsuri reflectă recomandările cercetătorilor și administratorilor ecosistemului.

• Verificați dependențele în raport cu listele de editori cunoscuți ca fiind răi și eliminați pachetele suspecte sau de calitate scăzută.
• Restricționare publicare npm permisiuni pentru CI/CD și mentenatori verificați; prevenirea executării accidentale a scripturilor de replicare.
• Adoptă analiza compoziției software (SCA) capabilă de semnalizarea fișierelor inactive, a denumirilor cu model sau a rețelelor de dependențe circulare.
• Introduce limitarea ratei și monitorizarea comportamentului Pentru trimiteri cu volum mare de informații, luați în considerare CAPTCHA și o verificare mai strictă a contului.
• Consolidați-vă conducta cu SBOM-uri, fixarea versiunilor și CI/CD izolat, plus verificări riguroase ale semnăturii și provenienței.

Combinate, aceste măsuri reduce zgomotul din registru, facilitând în același timp detectarea comportamentelor rău intenționate sau manipulatoareDe asemenea, reduc raza exploziei dacă un pachet defect intră în graf.

În ambele incidente, linia de delimitare este simplă: atacatorii urmăresc stimulentele și punctele oarbeFie că este vorba de logica de camuflare care filtrează analiștii de victime sau de asimilarea automată a tokenurilor care ascunde munca legitimă, răspunsul constă într-o vizibilitate mai bună, o colaborare mai rapidă și politici care fac abuzul mai dificil și mai costisitor la scară largă.

Articol asociat:

Viermele lanțului de aprovizionare Shai-Hulud npm afectează sute de proiecte