Một mối lo ngại mới về chuỗi cung ứng đã ảnh hưởng đến các nhóm phát triển phần mềm sau khi những kẻ tấn công chèn **mã độc** vào các thư viện mã nguồn mở đáng tin cậy. Vụ việc này là một **tấn công mạng** tinh vi nhắm vào hệ sinh thái phát triển, nhấn mạnh rủi ro tiềm ẩn trong các thành phần phần mềm bên ngoài.
Phân tích Kỹ thuật về Cuộc Tấn Công Chuỗi Cung Ứng npm Joyfill
Vào ngày 28 tháng 7 năm 2026, các phiên bản beta độc hại của hai gói Joyfill đã xuất hiện trên registry npm. Các thư viện này, bao gồm @joyfill/components và @joyfill/layouts, được sử dụng rộng rãi trong nhiều ứng dụng web cho các tác vụ liên quan đến biểu mẫu và bố cục.
Cơ chế Lây nhiễm Mã Độc Ban Đầu
Bất kỳ ai nhập các phiên bản beta độc hại này đều có thể kích hoạt mã độc ẩn mà không cần một script cài đặt thông thường. Điều này vượt qua các biện pháp phòng thủ truyền thống như sử dụng lệnh npm install --ignore-scripts.
Nguyên nhân là do mã độc được nhúng trực tiếp vào các bundle của gói, thay vì dựa vào các script bên ngoài. Điều này khiến việc phát hiện và ngăn chặn trở nên khó khăn hơn.
Các nhà phân tích từ StepSecurity đã xác định chiến dịch này sau khi các quy trình quét tự động đánh dấu một bản build của gói layouts là cực kỳ nghiêm trọng. Công ty này đã chia sẻ báo cáo chi tiết về sự việc với cộng đồng.
StepSecurity khẳng định rằng cùng một implant được làm rối mã hóa xuất hiện trong cả hai gói. Mã độc chỉ có mặt trong các tarball đã được xuất bản, không tồn tại trong mã nguồn dự án gốc sạch. Báo cáo của StepSecurity cung cấp thông tin chuyên sâu về phát hiện này.
Họ đã xác nhận phát hiện này thông qua việc chạy sandbox và so sánh các bản build độc hại với các bản phát hành an toàn trước đó. Điều này đảm bảo tính chính xác của phân tích.
Tác Động Lan Rộng và Đặc Tính Tấn Công
Tác động của cuộc tấn công này vượt xa một dự án đơn lẻ. Sau khi được kích hoạt, **mã độc** có khả năng tự cấy vào các công cụ mà các nhà phát triển sử dụng hàng ngày.
Các công cụ này bao gồm các trình chỉnh sửa mã (code editors) và giao diện dòng lệnh npm toàn cục. Điều này cho thấy khả năng lây lan và duy trì sự tồn tại trên hệ thống bị ảnh hưởng.
Hành vi lây lan như sâu (worm-like behavior) này có nghĩa là một máy bị nhiễm có thể liên tục tải lại mối đe dọa. Thậm chí, nó có thể lây nhiễm sang các gói mới được tạo hoặc sử dụng.
Các nhóm đã sử dụng bất kỳ phiên bản beta 2773 nào của các gói này nên coi các máy đó đã bị xâm nhập. Cần thực hiện các biện pháp làm sạch và khắc phục ngay lập tức.
Trường hợp này phù hợp với một mô hình lạm dụng mã nguồn mở rộng hơn. Kẻ tấn công ngày càng ưu tiên sử dụng các dự án thực thay vì tạo tên giả để phát tán mã độc.
Các làn sóng tấn công tương tự vào gói npm trước đây đã cho thấy tốc độ **đánh cắp dữ liệu** token và khóa. Những thông tin này sau đó có thể mở ra quyền truy cập sâu hơn vào các nền tảng đám mây và tài khoản lưu trữ mã.
Chuỗi Tấn Công Chi Tiết
Chuỗi tấn công bao gồm năm giai đoạn chính. Nó bắt đầu ngay từ thời điểm một ứng dụng nhập gói npm độc hại. Sự phức tạp trong từng bước cho thấy mức độ tinh vi của **tấn công mạng** này.
Giai đoạn 1: Loader Ẩn và Khởi tạo
Một loader ẩn sẽ thiết lập một campaign tag cụ thể. Đồng thời, nó phơi bày các tính năng của Node.js dưới các tên global ngắn gọn. Điều này tạo điều kiện cho mã độc hoạt động mà không bị nghi ngờ.
Giai đoạn 2: Phát hiện Máy chủ Điều khiển C2
Sau đó, loader đọc dữ liệu blockchain công khai để xác định vị trí của máy chủ điều khiển (C2) trực tiếp. Phương pháp này giúp tránh việc mã hóa cứng địa chỉ C2 bên trong gói, gây khó khăn cho việc phân tích tĩnh.
Giai đoạn 3: Thực thi Mã trong Bộ nhớ và Kết nối
Sau khi tra cứu, **mã độc** sẽ đánh giá và thực thi thêm mã trong bộ nhớ. Tiếp theo, nó thiết lập kết nối với máy chủ C2 thông qua giao thức Socket.IO.
Giai đoạn 4: Điều khiển Từ xa và Đánh cắp Thông tin
Các tác nhân điều khiển (operators) có thể yêu cầu chi tiết về máy chủ nạn nhân. Họ có thể **đánh cắp dữ liệu** từ clipboard, di chuyển các tập tin, và chạy script trên hệ thống bị xâm nhập. Đây là giai đoạn chiếm quyền điều khiển.
Một trợ giúp Python theo giai đoạn sau đó được sử dụng để thu thập dữ liệu trình duyệt, tiện ích mở rộng ví tiền điện tử, trình quản lý mật khẩu, token Git và keychain. Tất cả những thông tin này sau đó sẽ được tải lên máy chủ của kẻ tấn công.
Mục tiêu thực sự là máy tính xách tay của nhà phát triển chứ không phải một môi trường build có thời gian tồn tại ngắn. Các bí mật trình duyệt, token kiểm soát nguồn và thông tin đăng nhập npm bị **đánh cắp dữ liệu** có thể mở ra quyền truy cập vào các kho lưu trữ riêng tư, tài khoản đám mây và quyền xuất bản gói.
Giai đoạn 5: Duy trì và Lây lan
Agent độc hại tự tiêm các bản sao của nó vào các module của VS Code, Cursor, Discord, GitHub Desktop và npm CLI. Điều này đảm bảo mối đe dọa tồn tại ngay cả sau khi hệ thống khởi động lại.
Sự tự lây lan này là điều khiến implant có hành vi giống như sâu. Việc vá lỗi npm CLI toàn cục đặc biệt nguy hiểm. Mỗi lệnh npm sau đó có thể khởi chạy lại loader độc hại, duy trì **mối đe dọa mạng** này.
Thiết kế này lặp lại hoạt động của các loại sâu chuỗi cung ứng trước đây. Tại đó, một chỗ đứng duy nhất cố gắng mở rộng quyền kiểm soát trên các công cụ phát triển hàng ngày.
Các campaign tag định hướng nạn nhân đến các máy chủ điều khiển khác nhau. Đối với đường dẫn npm được gắn thẻ A9-0135-3, lưu lượng truy cập được chỉ định đến một địa chỉ riêng. Địa chỉ này được sử dụng cho kênh socket và tải lên tệp tin.
Phát hiện và Các Biện pháp Đối phó
Các chuyên gia bảo mật cần chú ý đến các dấu hiệu bất thường để phát hiện **tấn công mạng** này. Việc giám sát liên tục là chìa khóa để bảo vệ hệ thống.
Dấu hiệu Phát hiện Xâm nhập
Các dấu hiệu cần chú ý bao gồm:
- Lưu lượng truy cập socket HTTP thuần túy.
- Các tiến trình con Node.js bất thường.
- Các chỉnh sửa không mong muốn bên trong các tệp của trình chỉnh sửa và npm.
Những dấu hiệu này có thể bị bỏ qua bởi các kiểm tra registry thông thường. Do đó, cần có sự giám sát chủ động và sâu rộng hơn để phát hiện **mã độc**.
Hướng dẫn Khắc phục và Bảo mật
Nếu bất kỳ phiên bản beta 2773 nào của các gói Joyfill này đã được thêm vào tệp lockfile, hãy thực hiện các bước sau:
- Gỡ bỏ phiên bản độc hại: Xóa các phiên bản đó và ghim (pin) vào các bản phát hành tốt đã biết, được xuất bản trước ngày 28 tháng 7 năm 2026.
- Làm sạch môi trường: Xóa thư mục
node_modulesvà cài đặt lại từ một tệplockfilesạch để đảm bảo gói bundle đã được tiêm bị loại bỏ hoàn toàn. - Kiểm tra và cài đặt lại ứng dụng: Trên các máy đã nhập mã, hãy kiểm tra các tệp công cụ dành cho nhà phát triển để tìm dấu hiệu tiêm mã. Cài đặt lại các ứng dụng đó nếu phát hiện dấu hiệu xâm nhập.
- Xoay vòng thông tin bí mật: Xoay vòng mọi thông tin bí mật đã tồn tại trên các hệ thống bị ảnh hưởng. Bao gồm mật khẩu lưu trữ trong trình duyệt, token Git, token npm và khóa ví.
- Kiểm tra nhật ký: Xem xét nhật ký đi (outbound logs) để tìm các máy chủ điều khiển được liệt kê bởi các nhà nghiên cứu.
Tổ chức cần coi việc thực thi mã tại thời điểm nhập (import time execution) là một rủi ro hàng đầu trong quá trình đánh giá phụ thuộc. Các kiểm tra lockfile liên tục và giám sát lưu lượng egress Node.js bất thường vẫn là các biện pháp phòng thủ hiệu quả khi các nhóm ứng phó với **mối đe dọa mạng** này.
Các Chỉ số Xâm nhập (IoCs)
Để có danh sách đầy đủ và cập nhật nhất về các Indicators of Compromise (IoCs), các tổ chức nên tham khảo báo cáo chi tiết từ StepSecurity hoặc các nền tảng threat intelligence đáng tin cậy.
Các loại IoCs cần được theo dõi chặt chẽ bao gồm:
- Lưu lượng mạng: Chú ý đến lưu lượng truy cập socket HTTP thuần túy đến các máy chủ điều khiển không xác định.
- Địa chỉ IP và Tên miền: Các địa chỉ IP và tên miền được sử dụng bởi các máy chủ C2. Cần lưu ý rằng các IoCs này thường được làm sạch (defanged) trong các báo cáo công khai để ngăn chặn việc giải quyết hoặc liên kết ngẫu nhiên. Chỉ re-fang chúng trong các nền tảng threat intelligence được kiểm soát như MISP, VirusTotal hoặc SIEM của bạn.
- Campaign Tags: Ví dụ như tag A9-0135-3 đã được sử dụng để định tuyến lưu lượng truy cập.
- Hash tệp: Hash của các gói npm độc hại và các tệp mã độc được tiêm.
- Hoạt động hệ thống bất thường: Các tiến trình con Node.js lạ, các chỉnh sửa không mong muốn trong các tệp của trình chỉnh sửa và npm CLI.
Việc theo dõi và phân tích các IoCs này giúp các nhà quản trị an ninh mạng phát hiện sớm và ứng phó hiệu quả với các cuộc **tấn công mạng** tương tự trong tương lai. Điều này góp phần tăng cường **an ninh mạng** tổng thể cho hệ thống.
