Cảnh báo chiến dịch tấn công chuỗi cung ứng nhắm vào nhà phát triển Web3 qua npm

• Chiến dịch tinh vi: Kẻ tấn công giả danh chương trình tăng tốc Web3 'Apex' để phát tán mã độc thông qua các gói npm độc hại.
• Mục tiêu nhắm tới: Các nhà phát triển tiền điện tử, đánh cắp khóa ví, thông tin xác thực đám mây và dữ liệu dự án.
• Kỹ thuật tấn công: Sử dụng các công cụ AI giả mạo (Apex Copilot) và công cụ kiểm định smart-contract để thực thi mã độc trên macOS và Windows.
• Khuyến nghị: Kiểm tra ngay các tệp cấu hình MCP và thực hiện xoay vòng toàn bộ các khóa bảo mật đã bị lộ.

Các nhà nghiên cứu bảo mật vừa phát hiện một chiến dịch tấn công chuỗi cung ứng (supply-chain attack) tinh vi, trong đó một tổ chức giả mạo mang tên 'Apex' đã sử dụng các gói npm độc hại để nhắm vào các nhà sáng lập và nhà phát triển trong lĩnh vực Web3. Chiến dịch này không chỉ dừng lại ở việc đánh cắp dữ liệu mà còn cung cấp các công cụ AI và kiểm định bảo mật giả mạo để tạo niềm tin với nạn nhân.

Phân tích chiến dịch tấn công Apex

Tổ chức giả mạo 'Apex' tự quảng bá là một chương trình tăng tốc (accelerator) dành cho các dự án Web3, cung cấp các dịch vụ như không gian làm việc riêng, kiểm định smart-contract và các công cụ hỗ trợ lập trình AI. Để tăng tính thuyết phục, chúng còn tạo ra các đánh giá giả mạo và quảng bá sự kiện liên quan đến hội nghị TOKEN2049 tại Singapore.

Kẻ tấn công đã phát hành hai gói npm độc hại là @apexacc/cli và @apexacc/audit. Khi người dùng cài đặt các gói này thông qua npm hoặc npx, một chuỗi lây nhiễm đa giai đoạn sẽ được kích hoạt, cho phép kẻ tấn công kiểm soát hệ thống của nạn nhân.

Cơ chế lây nhiễm và thực thi mã độc

Trên hệ điều hành Windows, các gói này sử dụng tệp apex.cjs và audit.cjs để tải xuống các tệp thực thi từ GitHub. Sau đó, chúng tạo ra các tệp PowerShell và VBScript để thực thi các giai đoạn tiếp theo, cuối cùng là cài đặt một trình đánh cắp thông tin (information stealer) tùy chỉnh.

Trên macOS, kẻ tấn công sử dụng một trình trợ giúp Rust để lấy lệnh từ máy chủ C2, sau đó tải xuống CloudSyncD - một backdoor có khả năng thu thập thông tin hệ thống và thực thi các lệnh từ xa với quyền quản trị. Ngoài ra, công cụ 'Apex Copilot' còn được cấu hình để chuyển hướng các yêu cầu AI tới máy chủ do kẻ tấn công kiểm soát, từ đó đánh cắp dữ liệu hội thoại và mã nguồn của người dùng.

Bảng chỉ số IOCs (Indicators of Compromise)

Khuyến nghị phòng thủ và xử lý sự cố

Các tổ chức và nhà phát triển cần thực hiện ngay các bước sau để đảm bảo an toàn:

• Gỡ bỏ gói độc hại: Xóa bỏ hoàn toàn @apexacc/cli và @apexacc/audit khỏi môi trường phát triển.
• Xoay vòng thông tin xác thực: Thay đổi toàn bộ khóa ví, API keys, SSH keys, và thông tin đăng nhập đám mây vì khả năng cao đã bị lộ.
• Kiểm tra cấu hình AI: Rà soát các tệp cấu hình MCP (như ~/.apex/agent/mcp.json) để phát hiện các kết nối bất thường.
• Giám sát hành vi: Thiết lập cảnh báo cho các hoạt động PowerShell, VBScript hoặc các lệnh curl bất thường phát sinh từ quá trình cài đặt gói npm.

Để biết thêm chi tiết về các kỹ thuật phòng thủ, bạn có thể tham khảo tài liệu từ MITRE ATT&CK về các kỹ thuật tấn công chuỗi cung ứng phần mềm.