Οι επιθέσεις στην αλυσίδα εφοδιασμού, που στοχεύουν το οικοσύστημα JavaScript, έχουν εξελιχθεί σε περίπλοκες επιχειρήσεις που συνδυάζουν domain manipulation με κοινωνική μηχανική (μέσω email).
Στις 8 Σεπτεμβρίου 2025, οι απειλητικοί παράγοντες ξεκίνησαν μια συντονισμένη εκστρατεία phishing με στόχο την παραβίαση κορυφαίων NPM developers.
Η επίθεση επέτρεψε στους επιτιθέμενους να διεισδύσουν στους λογαριασμούς του προγραμματιστή Josh Junon, γνωστού ως “qix“. Επίσης, στόχευσε τουλάχιστον τέσσερις άλλους maintainers, αποκαλύπτοντας την ευπάθεια των αποθετηρίων λογισμικού σε τακτικές credential-harvesting.
Τα παραβιασμένα πακέτα αντιπροσώπευαν σχεδόν 2,8 δισεκατομμύρια εβδομαδιαίες λήψεις, τοποθετώντας αυτό το περιστατικό ανάμεσα στις πιο σημαντικές απειλές στην αλυσίδα εφοδιασμού στην ιστορία του ΝPM.
Δείτε επίσης: Hackers διανέμουν SSH-Tor Backdoor μέσω στρατιωτικών εγγράφων
Τα phishing emails παρουσιάζονταν ως επίσημες επικοινωνίες ασφαλείας του ΝPM, ισχυριζόμενα ότι οι παραλήπτες έπρεπε να ενημερώσουν τα διαπιστευτήρια ελέγχου ταυτότητας δύο παραγόντων για να αποτρέψουν την αναστολή του λογαριασμού.
Αυτό το επείγον μήνυμα δημιούργησε ψυχολογική πίεση στους στόχους. Ο επιτιθέμενος έστειλε μηνύματα από το support@npmjs[.]help, ένα πλαστογραφημένο domain, σχεδιασμένο να αντικατοπτρίζει την νόμιμη υποδομή του ΝPM.
Οι αναλυτές της Group-IB παρατήρησαν ότι τα κακόβουλα emails πέρασαν με επιτυχία τα standard email authentication protocols, όπως SPF, DKIM και DMARC. Ωστόσο, πολλαπλοί τεχνικοί δείκτες αποκάλυψαν την κακόβουλη πρόθεση της εκστρατείας. Κάθε email περιείχε έναν προσαρμοσμένο σύνδεσμο phishing που κατεύθυνε τα θύματα σε έναν ιστότοπο συλλογής διαπιστευτηρίων που φιλοξενούνταν στο npmjs.help.
Μόλις οι προγραμματιστές εισήγαγαν τα διαπιστευτήριά τους στη κλωνοποιημένη σελίδα σύνδεσης, οι επιτιθέμενοι απέκτησαν πλήρη πρόσβαση στους λογαριασμούς ΝPM.
Δείτε επίσης: Νέο HttpTroy backdoor μεταμφιέζεται ως τιμολόγιο VPN
Παραβίαση email: JavaScript Clipper Payload
Με την πρόσβαση στους λογαριασμούς εξασφαλισμένη, οι απειλητικοί παράγοντες εισήγαγαν JavaScript clipper malware σε είκοσι δημοφιλή πακέτα ΝPM.
Αυτό το εξελιγμένο payload παρακολουθούσε τη δραστηριότητα του προγράμματος περιήγησης και των εφαρμογών, ειδικά για αλληλεπιδράσεις με πορτοφόλια κρυπτονομισμάτων. Όταν οι χρήστες ξεκινούσαν συναλλαγές που αφορούσαν Bitcoin, Ethereum, Solana, Tron, Litecoin ή Bitcoin Cash, το κακόβουλο λογισμικό παρενέβαινε στις διευθύνσεις πορτοφολιών και τις αντικαθιστούσε με εναλλακτικές που ελέγχονταν από τους επιτιθέμενους (εκτρέποντας αποτελεσματικά τις μεταφορές κρυπτονομισμάτων χωρίς την επίγνωση του χρήστη).
Προστασία
Αυτός ο μηχανισμός μόλυνσης ανέδειξε την ακρίβεια των σύγχρονων επιχειρήσεων παραβίασης αλυσίδας εφοδιασμού. Η πλατφόρμα Business Email Protection της Group-IB ανίχνευσε με επιτυχία αυτή την απειλή μέσω μιας ολοκληρωμένης πολυεπίπεδης ανάλυσης. Η ανίχνευση αξιοποίησε domain intelligence μέσω ελέγχων RDAP, αλγορίθμων brand impersonation, ανάλυσης περιεχομένου που εντοπίζει μοτίβα κοινωνικής μηχανικής, επιθεώρησης URL που αποκαλύπτει λειτουργικότητα συλλογής διαπιστευτηρίων και ανάλυσης συμπεριφοράς που εκθέτει την απάτη αναπαραγωγής διεπαφής.
Δείτε επίσης: Νέα επιχείρηση SkyCloak χρησιμοποιεί εργαλεία Powershell
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Μετά την αποκατάσταση, τα επηρεασμένα πακέτα επανήλθαν σε καθαρές εκδόσεις και οι προγραμματιστές ανέκτησαν πλήρη έλεγχο των λογαριασμών τους, αποτρέποντας την ευρεία παραβίαση.
