چهار بسته‌ی مخرب npm، infostealer و بدافزار DDoS Phantom Bot را تحویل می‌دهند

ماجرا چه بود؟

در ۱۴ مه ۲۰۲۶، تیم تحقیقاتی Socket Security چهار بسته‌ی مخرب در رجیستری npm را شناسایی و گزارش کرد. این بسته‌ها با نام‌های شبیه به ابزارهای محبوب توسعه (typosquatting) منتشر شده بودند: redis-clientt (به‌جای redis-client)، cyrpto-utils (به‌جای crypto-utils)، و دو نام دیگر.

تعداد downloads جمعی: حدود ۱۲ هزار طی ۴ هفته. این بسته‌ها payload دوگانه‌ای داشتند: یک infostealer برای سرقت credentials توسعه‌دهنده، و Phantom Bot — یک malware DDoS که سیستم آلوده را به بخشی از botnet تبدیل می‌کند.

جزئیات فنی

پس از npm install، script post-install به‌صورت زیر عمل می‌کرد:

1. شناسایی محیط: بررسی فایل‌های .env, .npmrc, .aws/credentials, .docker/config.json.
2. سرقت credentials: کپی این فایل‌ها به C2 از طریق HTTPS POST.
3. نصب Phantom Bot: دانلود یک binary بسته به سیستم‌عامل (Win/Linux/macOS) و اجرا در پس‌زمینه.
4. persistence: ثبت در launchctl روی macOS، crontab روی Linux، scheduled task روی Windows.

Phantom Bot یک botnet DDoS است که از LDAP reflection برای amplification استفاده می‌کند. حداقل ۳ کارزار DDoS بزرگ علیه سرویس‌های گیمینگ به این botnet نسبت داده شده.

تأثیر و واکنش

Socket این بسته‌ها را به npm گزارش کرد و npm آن‌ها را remove کرد. اما در فاصله‌ی بین publication و removal، حدود ۱۲ هزار سیستم آلوده شده‌اند که بسیاری همچنان compromised باقی مانده‌اند.

توسعه‌دهندگانی که این بسته‌ها را نصب کرده‌اند باید فرض کنند که همه‌ی credentials در سیستم خود سرقت شده و باید rotate شوند.

توصیه‌های امنیتی

• بررسی هر بسته‌ی جدید: استفاده از socket.dev یا snyk برای scan قبل از npm install.
• disable preinstall/postinstall scripts: npm install --ignore-scripts در محیط‌های CI، یا npm config set ignore-scripts true به صورت پیش‌فرض.
• typosquatting awareness: همیشه نام بسته را با dependency اصلی پروژه مقایسه کنید.
• EDR در workstation توسعه: زیرا توسعه‌دهنده‌ها target اصلی attacks supply chain هستند.
• credential rotation سریع در صورت شک نسبت به آلودگی — npm token، GitHub PAT، AWS keys.

منابع

• The Hacker News