TL;DR
- Microsoft mengenal pasti dua paket npm yang telah disusupi yang secara rahsia menyebarkan malware yang mampu mencuri kredensial dompet mata wang kripto, tekanan kekunci, tangkapan skrin, dan maklumat sensitif lain.
- Pengganas dilaporkan menggunakan repositori Hugging Face untuk mengekstrak data curian, menjadikan aktiviti ini lebih sukar dikesan.
- Penemuan ini menonjolkan risiko rantaian bekalan perisian yang semakin meningkat terhadap pembangun sambil menegaskan kepentingan amalan keselamatan penyimpanan sendiri dan pengesahan teliti terhadap keterbergantungan pihak ketiga.
Microsoft telah mengesan satu kempen malware baharu yang menargetkan pembangun melalui paket npm yang telah disusupi, menambah kebimbangan mengenai keselamatan rantai bekalan perisian. Kod jahat tersebut direka untuk mencuri maklumat sensitif, termasuk kredensial dompet mata wang kripto, sambil bersembunyi di dalam alat yang kelihatan sah.
Pakett npm yang disusupi (utils-terminal@3.2.1, logger-active@3.2.1) menyalahgunakan repositori Hugging Face sebagai infrastruktur ekstraksi data. Paket-paket ini meng部署 trojan akses jarak jauh (RAT) yang menangkap penekanan tombol, tangkapan layar, dan kredensial dompet kripto.
Indikator kompromi… pic.twitter.com/e3kzcStZUg
— Microsoft Threat Intelligence (@MsftSecIntel) 3 Jun 2026
Menurut Kecerdasan Ancaman Microsoft, pakej yang terjejas, dikenal pasti sebagai utils-terminal@3.2.1 dan logger-active@3.2.1, menyebarkan trojan akses jauh yang mampu mengumpulkan tekanan key, tangkapan skrin, kelayakan log masuk, dan data berkaitan kripto dari sistem yang terjejas. Sejak npm merupakan salah satu registri perisian terbesar di dunia, pakej yang telah disusupi berpotensi mencapai ramai pembangun yang tanpa sengaja memasang dependensi yang terjejas.
Microsoft Mengungkap Serangan Rantaian Pemasok yang Berfokus pada Kripto
Kempen ini sangat relevan untuk pengguna mata wang kripto dan blok rantai pembangun. Mesin pembangunan sering mengandungi dompet pelayar, kredensial API, token akses awan, dan repositori kod sumber yang disambungkan kepada projek aset digital. Jika penyerang mendapat akses kepada sumber-sumber ini, mereka boleh mengompromikan dompet, infrastruktur pembangunan, atau sistem dagangan automatik.
Microsoft melaporkan bahawa malware tersebut menggunakan repositori Hugging Face sebagai sebahagian daripada strategi ekstraksi data mereka. Dengan menghantar maklumat yang dicuri melalui platform kecerdasan buatan yang dipercayai, penyerang mengurangkan kemungkinan aktiviti mereka segera menarik perhatian sistem pemantauan keselamatan.
Insiden ini mencerminkan tren yang lebih luas di mana penjenayah siber semakin menargetkan rantai bekalan perisian berbanding pengguna individu. Alih-alih menyerang mangsa secara langsung, pelaku ancaman cuba mengompromikan alat pembangunan dan ketergantungan yang sering digunakan untuk mendapatkan akses kepada kumpulan calon mangsa yang jauh lebih besar.
Cabaran Keselamatan Sumber Terbuka Terus Meningkat
Penemuan terkini mengikuti beberapa kempen terkini yang menargetkan pembangun mata wang kripto dan kecerdasan buatan. Para penyelidik keselamatan sebelum ini telah mengenal pasti pakej jahat di seluruh ekosistem npm, PyPI, dan Rust yang cuba mengumpul kredensial dompet, kunci SSH, dan kredensial akses awan.
Walaupun serangan-serangan ini menciptakan risiko kepada pengguna, ia tidak memaparkan kelemahan dalam rangkaian blok rantai itu sendiri. Dalam kebanyakan kes, penyerang fokus pada pencurian kredensial daripada titik akhir dan peranti pengguna, bukan cuba memecahkan asas kriptografi yang melindungi aset digital.
Microsoft mencadangkan untuk mengkaji pakej yang dipasang, menghapuskan keterbergantungan yang mencurigakan, memutar semula kredensial yang berpotensi terdedah, dan memantau aktiviti dompet bagi transaksi yang tidak sah. Pakar keselamatan juga menasihati untuk menyimpan frasa benih secara luar talian dan mengesahkan sumber perisian dengan teliti sebelum pemasangan.