Kaj se je zgodilo
Po navedbah Cyber Security News in The Hacker News je bila odkrita kampanja, v kateri se je napadalec predstavljal kot Web3 pospeševalnik z imenom Apex. Operacija je ciljala ustanovitelje in zagonska podjetja s področja kriptovalut z obljubo brezplačnih AI kreditov za Anthropic Claude in Google Gemini, orodij za kodiranje, varnostnih revizij pametnih pogodb, dostopa do investitorjev in vabil na dogodke v živo.
Za izvedbo napada sta bila uporabljena dva npm paketa, @apexacc/cli in @apexacc/audit, predstavljena kot orodje za kodiranje z umetno inteligenco in orodje za varnostno revizijo po protokolu Model Context Protocol (MCP). Uporabniki, ki so paket zagnali prek npm ali npx, so sprožili večstopenjsko okužbo. Po navedbah vira je operacija dostavljala zlonamerno programje za krajo podatkov (infostealer) in zakulisna vrata (backdoor) tako za macOS kot za Windows, izpostavljala je podatke AI agentov napadalčevim sistemom in ponujala lažne rezultate varnostnih pregledov, ki bi lahko ekipe zavedli v zaupanje nevarni kodi.
Analitiki podjetja Elastic Security Labs so paket @apexacc/cli odkrili, potem ko je nadzorni sistem za dobavno verigo zaznal sumljivo vedenje. Nadaljnja preiskava je operacijo povezala s širšo kampanjo, ki se je predstavljala kot pospeševalnik Apex, kasneje pa so odkrili tudi drugi paket, @apexacc/audit.
Kaj to pomeni za slovenska in evropska podjetja
Ustanovitelji kriptovalutnih podjetij in razvijalci v tem sektorju pogosto na istih razvojnih sistemih hranijo ključe denarnic, izvorno kodo, poverilnice za oblačne storitve, podatke o investitorjih in gradivo o pametnih pogodbah. Okužba enega samega razvojnega sistema lahko zato pomeni izgubo sredstev, izvorne kode ali zaupnih poslovnih podatkov. Ker gre za zlonamerne pakete znotraj npm ekosistema, je tveganje relevantno za vsako podjetje, ki razvija programsko opremo in uporablja odprtokodne odvisnosti, ne glede na geografsko lokacijo.
Kampanja je zanimiva tudi zato, ker zlorablja trenutni interes za orodja z umetno inteligenco in Model Context Protocol, torej teme, ki pritegnejo pozornost razvijalcev in tehničnih ustanoviteljev. Lažna ponudba varnostnih revizij je še posebej zavajajoča, saj lahko žrtvam ustvari lažen občutek varnosti glede lastne kode.
Priporočeni ukrepi
- Pred namestitvijo kateregakoli npm paketa preverite izvor, avtorja in zgodovino objav paketa, zlasti pri manj znanih ali novo objavljenih paketih.
- Razvojnim ekipam, ki delajo s kriptovalutami ali pametnimi pogodbami, priporočamo ločevanje sistemov za upravljanje ključev denarnic od splošnih razvojnih okolij.
- Bodite previdni pri ponudbah brezplačnih AI kreditov, orodij ali varnostnih revizij, ki prihajajo prek nepreverjenih kanalov ali neznanih organizacij.
- Uporabite orodja za spremljanje dobavne verige programske opreme, ki zaznajo sumljivo vedenje paketov pred ali po namestitvi.
- Če ste uporabljali pakete @apexacc/cli ali @apexacc/audit, po navedbah vira preverite sisteme Windows in macOS na prisotnost infostealerjev ali zakulisnih vrat.
Vprašanja in odgovori
Ali je bila ranljivost aktivno izkoriščena? Po razpoložljivih virih ne gre za ranljivost v programski opremi, temveč za kampanjo z zlonamernimi npm paketi, ki so bili po navedbah vira dejansko uporabljeni za distribucijo zlonamernega programja.
Kateri sistemi so bili tarča? Po navedbah virov so bili tarča sistemi Windows in macOS, uporabljeni za razvoj programske opreme pri kriptovalutnih podjetjih.
Pogosta vprašanja
Kateri npm paketi so bili uporabljeni v napadu?
Po navedbah virov sta bila uporabljena paketa @apexacc/cli in @apexacc/audit, predstavljena kot orodje za kodiranje z umetno inteligenco in orodje za varnostno revizijo MCP.
Kdo je kampanjo odkril?
Kampanjo so po navedbah vira odkrili analitiki Elastic Security Labs, potem ko je nadzorni sistem za dobavno verigo zaznal sumljivo vedenje paketa.
Katere sisteme je zlonamerno programje prizadelo?
Po navedbah virov je šlo za infostealerje in zakulisna vrata, namenjena sistemom Windows in macOS.
Sorodne objave
- Zlonamerna programska oprema PEERSTITCH izkorišča ranljivost v FortiOS za zaobidenje preverjanja VPN-sej
- Hekerji napadli francoske hladilnike v trgovinah E. Leclerc, Intermarche in Cooperative U
- Plex2Shell: veriga štirih ranljivosti v Plex Media Server izkoriščena v praksi