Cộng đồng GoPlus tiếng Trung cảnh báo tin tặc Triều Tiên đã đưa 26 gói mã độc lên npm, tự chạy script khi cài đặt để tải và kích hoạt Remote Access Trojan (RAT), có thể dẫn tới lộ dữ liệu và mất tài sản tiền điện tử.

26 gói này chứa file install.js tự động thực thi trong quá trình cài đặt, gọi mã độc trong vendor/scrypt-js/version.js để tải RAT từ một URL độc hại. Sự việc được cho là liên quan chiến dịch Famous Chollima.

NỘI DUNG CHÍNH

26 gói npm bị cài mã độc, tự chạy khi cài đặt.
Mã độc tải RAT, có keylogging, đánh cắp clipboard và thông tin trình duyệt.
Có hành vi quét secret Git và đánh cắp SSH key; liên quan Famous Chollima.

26 gói npm bị gắn mã độc: cơ chế lây nhiễm

Các gói đều nhúng install.js và tự chạy khi cài đặt, thực thi mã độc từ vendor/scrypt-js/version.js rồi tải RAT từ URL độc hại.

Cảnh báo cho biết script cài đặt được thiết kế để kích hoạt tự động trong quá trình người dùng/developer thêm package vào dự án. Điểm gây hại nằm ở vendor/scrypt-js/version.js, nơi mã độc thực hiện tải xuống và chạy một Remote Access Trojan (RAT).

Xem thêm: Polygon Labs dự định huy động tối đa 100M USD để mở rộng thanh toán

Sự cố được liên hệ với hoạt động tấn công mang tên Famous Chollima. Người dùng và nhà phát triển được khuyến nghị kiểm tra kỹ nguồn gốc và độ an toàn của package trước khi cài đặt, vì rủi ro gồm xâm phạm quyền riêng tư và tổn thất tài sản.

Hành vi RAT và danh sách 26 package cần tránh

RAT có khả năng keylogging, đánh cắp clipboard, thu thập credential trình duyệt, quét secret Git bằng TruffleHog và đánh cắp SSH key.

Danh sách 26 package bị nêu tên: [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected].

Các package còn lại: [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected].

Tuyên bố miễn trừ: Bài viết này chỉ nhằm mục đích cung cấp thông tin dưới dạng blog cá nhân, không phải là khuyến nghị đầu tư. Nhà đầu tư cần tự nghiên cứu kỹ lưỡng trước khi đưa ra quyết định và chúng tôi không chịu trách nhiệm đối với bất kỳ quyết định đầu tư nào của bạn.

Theo Nghị quyết số 05/2025/NQ-CP ngày 09/09/2025 của Chính phủ về việc thí điểm triển khai thị trường tài sản số tại Việt Nam, TinTucBitcoin.com hiện chỉ cung cấp thông tin cho độc giả quốc tế và không phục vụ người dùng tại Việt Nam cho đến khi có hướng dẫn chính thức từ cơ quan chức năng.