Wprowadzenie do problemu / definicja
Ataki na łańcuch dostaw oprogramowania pozostają jednym z najpoważniejszych zagrożeń dla firm technologicznych. Najnowsza kampania pokazuje, że cyberprzestępcy coraz skuteczniej łączą złośliwe pakiety open source, socjotechnikę oraz komponenty związane z narzędziami AI, aby uzyskać dostęp do urządzeń, danych i procesów deweloperskich.
W opisywanym przypadku napastnicy podszywali się pod wiarygodny akcelerator Web3 i publikowali pakiety npm reklamowane jako narzędzia doradcze, audytowe oraz wspierające rozwój startupów kryptowalutowych. W rzeczywistości ich celem była dystrybucja malware dla Windows i macOS oraz przechwytywanie ruchu generowanego przez agentów AI.
W skrócie
- Kampania wykorzystywała fałszywą tożsamość biznesową związaną z rzekomym akceleratorem Web3.
- Złośliwe pakiety npm udawały legalne narzędzia dla founderów, audytorów i zespołów technicznych.
- Infekcja obejmowała zarówno systemy Windows, jak i macOS.
- Malware potrafiło kraść dane z przeglądarek, systemu i aplikacji użytkownika.
- Dodatkowo atak ingerował w ruch dużych modeli językowych i konfigurację agentów AI.
- To przykład połączenia supply chain attack, kradzieży danych i kompromitacji środowisk AI-native.
Kontekst / historia
Atak był powiązany z podmiotem występującym pod nazwą Apex Accelerator lub Apex Foundation. Operacja była budowana w sposób przemyślany: napastnicy starali się wzmacniać wiarygodność poprzez publiczną obecność, narrację inwestycyjną oraz komunikację skierowaną do startupów Web3, deweloperów i osób budujących produkty w obszarze kryptowalut.
Nie był to incydent jednorazowy. Wcześniejsze obserwacje wskazywały na podobne działania powiązane z tym samym schematem publikacji pakietów npm oraz zbliżoną infrastrukturą. Poprzednie odsłony kampanii koncentrowały się głównie na dystrybucji malware dla macOS, natomiast najnowsza wersja wyraźnie rozszerzyła zakres o systemy Windows oraz środowiska wykorzystujące agentów AI.
To istotna zmiana jakościowa. Atak nie ogranicza się już do klasycznej kradzieży danych czy uzyskania zdalnego dostępu, ale uderza także w procesy automatyzacji, audytu i wspomagania pracy programistów przez modele językowe.
Analiza techniczna
Kluczową rolę odegrały dwa pakiety npm, które były przedstawiane jako przydatne narzędzia dla ekosystemu Web3. Jeden miał wspierać founderów i proces doradczy, drugi udawał narzędzie do analizy bezpieczeństwa smart kontraktów, tokenów i portfeli. Deklarowana funkcjonalność miała zachęcać ofiary do instalacji w środowiskach roboczych.
Po uruchomieniu pakiety nie realizowały obiecywanych funkcji w sposób wiarygodny. Część wyników była spreparowana, a głównym celem komponentów było pobranie i uruchomienie kolejnych etapów infekcji. Mechanizm działania różnił się w zależności od systemu operacyjnego.
W środowisku Windows infekcja rozpoczynała się od uruchomienia polecenia PowerShell zakodowanego w Base64. Następnie pobierane były dalsze skrypty i pliki binarne z infrastruktury kontrolowanej przez atakujących. Kolejne etapy obejmowały użycie loadera przygotowanego z wykorzystaniem Pythona i PyInstaller, próby eskalacji uprawnień, obejście UAC oraz uruchomienie komponentów odpowiedzialnych za rekonesans hosta i wdrożenie finalnego stealera.
Końcowy ładunek był zdolny do zbierania wielu kategorii danych, w tym informacji systemowych, list procesów, zawartości schowka, zrzutów ekranu, danych sieciowych oraz artefaktów z aplikacji użytkownika. Szczególnie cenne dla napastników były dane pochodzące z przeglądarek, komunikatorów, klientów VPN, aplikacji do zdalnego dostępu oraz portfeli kryptowalutowych. Zebrane informacje były następnie eksfiltrowane poza środowisko ofiary.
Wątek przeglądarkowy zasługuje na szczególną uwagę, ponieważ malware było projektowane pod kątem pozyskiwania haseł, ciasteczek sesyjnych, historii przeglądania i innych danych profilu użytkownika. Tego typu dostęp może umożliwić nie tylko przejęcie kont, ale również dalsze poruszanie się po infrastrukturze organizacji bez potrzeby natychmiastowego łamania dodatkowych zabezpieczeń.
W przypadku macOS łańcuch infekcji opierał się na pobraniu zdalnego skryptu bash, który następnie dostarczał archiwum z dropperem dla backdoora CloudSyncD. Mechanizm wykorzystywał fałszywy prompt autoryzacyjny do wyłudzenia hasła użytkownika, po czym uruchamiał osadzony ładunek z uprawnieniami sudo. Backdoor wykonywał rozpoznanie systemu, zbierał dane o urządzeniu i systemie operacyjnym, a następnie komunikował się z serwerem dowodzenia i kontroli.
Najbardziej charakterystycznym elementem kampanii była jednak ingerencja w przepływy pracy agentów AI. Złośliwe pakiety mogły przekierowywać żądania do usług LLM przez infrastrukturę atakujących oraz rejestrować kontrolowany przez nich serwer MCP w konfiguracji ofiary. W praktyce otwierało to drogę do pozyskania promptów, historii konwersacji, fragmentów kodu, danych wejściowych oraz wyników narzędzi używanych przez agenta.
Taki scenariusz jest szczególnie groźny, ponieważ nie oznacza wyłącznie pasywnego podsłuchu. Jeśli napastnik uzyskuje wpływ na warstwę pośredniczącą pomiędzy agentem a usługami lub narzędziami, może pośrednio oddziaływać na decyzje podejmowane przez model, manipulować odpowiedziami lub podsuwać dodatkowe instrukcje i narzędzia.
Konsekwencje / ryzyko
Skutki takiej kampanii są wielowymiarowe. Na poziomie stacji roboczej oznaczają ryzyko wycieku danych logowania, przejęcia sesji przeglądarkowych, utraty informacji biznesowych oraz długotrwałej kompromitacji urządzenia. Dotyczy to zarówno danych prywatnych użytkownika, jak i zasobów firmowych.
Z perspektywy organizacji zagrożone są szczególnie startupy Web3, zespoły deweloperskie i firmy intensywnie korzystające z publicznych rejestrów pakietów. Problem wykracza poza sam fakt infekcji, ponieważ podważa zaufanie do narzędzi używanych w due diligence, automatyzacji i ocenie bezpieczeństwa projektów.
Najpoważniejszym ryzykiem jest jednak kompromitacja środowisk AI. Jeśli ruch modeli językowych lub konfiguracja agentów zostaje przejęta, napastnicy mogą uzyskać wgląd w kod źródłowy, sekrety organizacyjne, opisy architektury, wyniki analiz bezpieczeństwa oraz dane klientów. To bezpośrednio zwiększa ryzyko wycieku własności intelektualnej i wtórnych incydentów bezpieczeństwa.
Rekomendacje
Incydent powinien skłonić organizacje do przeglądu polityk bezpieczeństwa dla łańcucha dostaw, środowisk developerskich oraz wdrożeń AI. Konieczne jest podejście obejmujące zarówno zależności programistyczne, jak i warstwę pośredniczącą między użytkownikiem a modelami językowymi.
- Ograniczyć instalację niezweryfikowanych pakietów npm i korzystać z wewnętrznych repozytoriów pośredniczących.
- Wprowadzić listy dozwolonych zależności oraz obowiązkowe skanowanie pakietów przed użyciem.
- Monitorować skrypty postinstall, nietypowe połączenia wychodzące z narzędzi CLI i pobrania plików wykonywalnych.
- Zwiększyć widoczność telemetryczną dla PowerShell, prób obejścia UAC, modyfikacji AMSI i ETW oraz nietypowych binariów PyInstaller.
- W środowiskach macOS wykrywać fałszywe prompty autoryzacyjne, nadużycia sudo i uruchamianie zdalnych skryptów powłoki.
- Wzmocnić kontrolę nad komunikacją agentów AI, ruchem do usług LLM oraz rejestracją serwerów MCP.
- Prowadzić szkolenia dla deweloperów i founderów z zakresu rozpoznawania podejrzanych ofert inwestycyjnych, audytowych i narzędziowych.
W praktyce kluczowe znaczenie ma także inwentaryzacja narzędzi AI wykorzystywanych przez zespoły techniczne. Organizacje powinny wiedzieć, które aplikacje przesyłają dane do modeli, jakie serwery pośredniczące są skonfigurowane lokalnie oraz czy konfiguracje agentów nie zostały zmienione przez komponenty zewnętrzne.
Podsumowanie
Kampania podszywająca się pod akcelerator Web3 pokazuje, że współczesne ataki supply chain stają się coraz bardziej złożone i wielowarstwowe. W jednym łańcuchu połączono wiarygodną narrację biznesową, złośliwe pakiety npm, malware dla Windows i macOS, kradzież danych oraz przejęcie kontroli nad przepływami pracy agentów AI.
Dla zespołów bezpieczeństwa to wyraźny sygnał, że ochrona łańcucha dostaw nie może dziś kończyć się na analizie bibliotek open source. Musi obejmować również narzędzia AI, konfiguracje agentów, usługi pośredniczące i cały ekosystem automatyzacji używany w codziennej pracy deweloperskiej.