GoPlus cảnh báo 26 gói malware từ hacker Triều Tiên tải trojan từ xa

Cộng đồng GoPlus tiếng Trung cảnh báo tin tặc Triều Tiên đã đưa 26 gói mã độc lên npm, tự chạy script khi cài đặt để tải và kích hoạt Remote Access Trojan (RAT), có thể dẫn tới lộ dữ liệu và mất tài sản tiền điện tử.

26 gói này chứa file install.js tự động thực thi trong quá trình cài đặt, gọi mã độc trong vendor/scrypt-js/version.js để tải RAT từ một URL độc hại. Sự việc được cho là liên quan chiến dịch Famous Chollima.

26 gói npm bị gắn mã độc: cơ chế lây nhiễm

Các gói đều nhúng install.js và tự chạy khi cài đặt, thực thi mã độc từ vendor/scrypt-js/version.js rồi tải RAT từ URL độc hại.

Cảnh báo cho biết script cài đặt được thiết kế để kích hoạt tự động trong quá trình người dùng/developer thêm package vào dự án. Điểm gây hại nằm ở vendor/scrypt-js/version.js, nơi mã độc thực hiện tải xuống và chạy một Remote Access Trojan (RAT).

Sự cố được liên hệ với hoạt động tấn công mang tên Famous Chollima. Người dùng và nhà phát triển được khuyến nghị kiểm tra kỹ nguồn gốc và độ an toàn của package trước khi cài đặt, vì rủi ro gồm xâm phạm quyền riêng tư và tổn thất tài sản.

Hành vi RAT và danh sách 26 package cần tránh

RAT có khả năng keylogging, đánh cắp clipboard, thu thập credential trình duyệt, quét secret Git bằng TruffleHog và đánh cắp SSH key.

Danh sách 26 package bị nêu tên: [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected].

Các package còn lại: [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected]; [email protected].

Tuyên bố miễn trừ: Bài viết này chỉ nhằm mục đích cung cấp thông tin dưới dạng blog cá nhân, không phải là khuyến nghị đầu tư. Nhà đầu tư cần tự nghiên cứu kỹ lưỡng trước khi đưa ra quyết định và chúng tôi không chịu trách nhiệm đối với bất kỳ quyết định đầu tư nào của bạn.

Theo Nghị quyết số 05/2025/NQ-CP ngày 09/09/2025 của Chính phủ về việc thí điểm triển khai thị trường tài sản số tại Việt Nam, TinTucBitcoin.com hiện chỉ cung cấp thông tin cho độc giả quốc tế và không phục vụ người dùng tại Việt Nam cho đến khi có hướng dẫn chính thức từ cơ quan chức năng.