Nakakita ang Microsoft ng malware na nagtatali ng cryptocurrency sa mga npm package

TL;DR

• Nakatukoy ang Microsoft sa dalawang naiikli na npm packages na nagdistribuho ng malware na nakakakuha nang lihim ng mga credentials ng cryptocurrency wallet, mga keystroke, screenshots, at iba pang sensitibong impormasyon.
• Ayon sa mga ulat, ginamit ng mga attacker ang mga repository ng Hugging Face upang exfiltrate ang nasirang data, na ginagawang mas mahirap matuklasan ang aktibidad.
• Ang pagkakatuklas na ito ay nagpapakita ng patuloy na pagtaas ng mga panganib sa supply chain ng software para sa mga developer habang pinapalakas ang kahalagahan ng mga praktis sa seguridad ng self-custody at maingat na pag-verify sa mga third-party dependencies.
  

  ---

Microsoft ay natuklasan ang isang bagong kampanya ng malware na nagtatarget sa mga developer sa pamamagitan ng mga napapalitan na npm packages, na nagdaragdag sa mga pag-aalala tungkol sa kaligtasan ng supply chain ng software. Ang masasamang code ay disenyo upang makuha ang sensitibong impormasyon, kabilang ang cryptocurrency wallet credentials, habang nananatiling nakatago sa loob ng mga kasangkapan na tila legitimate.

Ang mga napapahamak na npm packages (utils-terminal@3.2.1, logger-active@3.2.1) ay gumagamit ng Hugging Face repos bilang infrastraktura para sa pag-exfiltrate. Ang mga package na ito ay nagde-deploy ng remote access trojan (RAT) na nangukuha ng mga keystroke, screenshots, at credentials ng crypto wallet.

Mga tanda ng kompromiso… pic.twitter.com/e3kzcStZUg

— Microsoft Threat Intelligence (@MsftSecIntel) June 3, 2026

Ayon sa Microsoft Threat Intelligence, ang mga apektadong pakete, na nakikilala bilang utils-terminal@3.2.1 at logger-active@3.2.1, ay nagdala ng isang remote access trojan na may kakayahang kumolekta ng mga keystroke, screenshot, login credentials, at crypto-related na data mula sa mga nasirang sistema. Dahil ang npm ay isa sa mga pinakamalaking software registry sa mundo, ang mga naiikli na pakete ay maaaring makarating sa isang malaking bilang ng mga developer na walang kaalaman na nag-iinstall ng mga nasirang dependencies.

Ang kampanya ay lalo na may kinalaman sa mga gumagamit ng cryptocurrency at blockchain developers. Madalas ay naglalaman ang mga machine sa pag-unlad ng browser wallets, API credentials, cloud access tokens, at source code repositories na konektado sa mga digital asset projects. Kung makakakuha ang mga attacker ng access sa mga mapagkukunan na ito, maaaring kompromiso ang mga wallet, development infrastructure, o automated trading systems.

Ibinigay ng Microsoft na ang malware ay gumamit ng mga repository ng Hugging Face bilang bahagi ng kanilang estratehiya sa pagbubukas ng data. Sa pamamagitan ng pagpapadala ng nasirang impormasyon sa isang tiwalaan na platform ng artificial intelligence, bumaba ang posibilidad na agad na makatanggap ng atensyon ang kanilang gawain mula sa mga sistema ng pagmamonitor sa seguridad.

Ang insidente ay nagpapakita ng mas malawak na trend kung saan ang mga cybercriminal ay lalong lumalabas na targetin ang mga supply chain ng software kaysa sa mga indibidwal na gumagamit. Sa halip na serbuhin ang mga biktima nang direkta, subukan ng mga aktor ng banta na kompromisuhin ang karaniwang ginagamit na mga kasangkapan at pagkakasunod sa pag-unlad na maaaring magbigay ng access sa isang mas malaking grupo ng posibleng biktima.

Susunod sa ilang kampanya na nakatarget sa mga developer ng cryptocurrency at artificial intelligence, natuklasan ng mga researcher sa seguridad ang mga masasamang package sa npm, PyPI, at mga ecosystem ng Rust na nagtatangkang kumolekta ng credentials ng wallet, SSH keys, at cloud access credentials.

Habang nagdudulot ang mga pag-atake sa mga panganib para sa mga gumagamit, hindi ito nagpapakita ng mga kahinaan sa mga network ng blockchain mismo. Sa karamihan ng mga kaso, ang mga attacker ay nakatuon sa pagkuha ng mga credentials mula sa mga endpoint at mga device ng gumagamit kaysa sa pagsubok na sirain ang mga cryptographic na pundasyon na nagpaprotekta sa mga digital asset.

Microsoftayon sa pagsusuri ng mga nakainstal na package, pag-alis ng mga sosyosong dependency, pag-rotate ng posibleng eksposong credentials, at pagmamanman ng aktibidad ng wallet para sa hindi awtorisadong transaksyon. Ang mga eksperto sa seguridad ay nag-aabiso rin na i-store ang seed phrase nang offline at mabuting i-verify ang mga pinagkukunan ng software bago ang pag-install.