Το PhantomRaven, ένα επικίνδυνο information stealer γραμμένο σε JavaScript, βρίσκεται στο επίκεντρο νέας έρευνας της CrowdStrike, η οποία αποκαλύπτει έναν ασυνήθιστο απειλητικό παράγοντα: έναν αυτοαποκαλούμενο bug bounty hunter που πιθανότατα χρησιμοποίησε LLM (Large Language Model) για να αναπτύξει το κακόβουλο λογισμικό του. Η υπόθεση αναδεικνύει πώς η τεχνητή νοημοσύνη μετασχηματίζει το τοπίο των κυβερνοαπειλών, μειώνοντας δραματικά τον χρόνο και την τεχνογνωσία που απαιτείται για τη δημιουργία εξελιγμένου malware.
Σύμφωνα με την ανάλυση της CrowdStrike Counter Adversary Operations, ο δράστης διανέμει το PhantomRaven μέσω του μητρώου πακέτων npm, αξιοποιώντας τεχνικές slopsquatting και typosquatting. Η εκστρατεία εντοπίστηκε για πρώτη φορά από τις εταιρείες Koi Security και DCODX στα τέλη Οκτωβρίου 2025, όταν ανακαλύφθηκαν πάνω από 100 κακόβουλα πακέτα στο npm registry. Στόχος τους ήταν η κλοπή authentication tokens, CI/CD secrets και GitHub credentials από μηχανήματα προγραμματιστών.
Αυτό που κάνει την περίπτωση ιδιαίτερα ενδιαφέρουσα είναι το κίνητρο του δράστη: δεν φαίνεται να πωλεί τα κλεμμένα δεδομένα σε underground αγορές, αλλά να τα χρησιμοποιεί ως «απόδειξη» για να διεκδικεί ανταμοιβές από επίσημα προγράμματα bug bounty. Πρόκειται για μια στρατηγική που θολώνει τα όρια μεταξύ νόμιμης έρευνας ασφαλείας και κυβερνοεγκλήματος.
Δείτε επίσης: Η GitHub μειώνει τις αμοιβές του Public Bug Bounty και μεταφέρει τα μεγαλύτερα rewards σε ιδιωτικό πρόγραμμα
Πώς λειτουργεί το PhantomRaven στο npm ecosystem
Η επίθεση στην αλυσίδα εφοδιασμού λογισμικού (software supply chain attack) που υλοποιεί το PhantomRaven είναι τεχνικά εκλεπτυσμένη. Τα κακόβουλα πακέτα που ανεβάζει ο δράστης στο npm δεν περιέχουν άμεσα το malware· αντίθετα, ανακτούν remote dynamic dependency (RDD) από εξωτερικό server κατά την εγκατάσταση. Αυτή η τεχνική επιτρέπει στα ίδια τα πακέτα να αποφεύγουν τον εντοπισμό από εργαλεία ασφαλείας που σαρώνουν στατικά τον κώδικα.
Μόλις εγκατασταθεί το πακέτο, το PhantomRaven ενεργοποιείται και αρχίζει να σαρώνει το περιβάλλον ανάπτυξης. Συλλέγει email addresses, πληροφορίες για το CI/CD environment, system fingerprint (συμπεριλαμβανομένης της δημόσιας IP διεύθυνσης), και αποστέλλει όλα τα δεδομένα σε server υπό τον έλεγχο του επιτιθέμενου. Επιπλέον, το stealer συλλέγει runtime details, ημερομηνία και ώρα, ονόματα χρηστών και email addresses από τις ρυθμίσεις Git και npm.
Ιδιαίτερα ανησυχητική είναι η ικανότητα του PhantomRaven να εξάγει CI/CD environment variables από πλατφόρμες όπως GitHub Actions, GitLab CI, Jenkins και CircleCI. Αυτές οι μεταβλητές συχνά περιέχουν ευαίσθητα API keys, deployment credentials και secrets που μπορούν να δώσουν πρόσβαση σε ολόκληρες υποδομές παραγωγής.
PhantomRaven και η χρήση AI: Νέα εποχή για το malware
Η CrowdStrike κατέληξε στο συμπέρασμα ότι ο δράστης χρησιμοποίησε LLM για τη συγγραφή του PhantomRaven βάσει συγκεκριμένων τεχνικών ενδείξεων: υπερβολικά αναλυτικά σχόλια στον κώδικα (verbose comments), placeholder code που δεν έχει αφαιρεθεί και στατιστικά μοτίβα ανάλυσης tokens που είναι χαρακτηριστικά κειμένου παραγόμενου από AI. Αυτά τα στοιχεία υποδηλώνουν ότι ο δράστης δεν είναι έμπειρος προγραμματιστής, αλλά αξιοποίησε τεχνολογία AI για να αντισταθμίσει την έλλειψη τεχνικής εξειδίκευσης.
Δείτε επίσης: Browser Company: Πρόγραμμα Bug Bounty για τον Arc Browser
Ο απειλητικός παράγοντας είναι ενεργός από τον Νοέμβριο 2022 και ισχυρίζεται ότι έχει εισπράξει ανταμοιβές bug bounty από τουλάχιστον 9 οντότητες στους τομείς της τεχνολογίας, του λιανικού εμπορίου και της φιλοξενίας. Τον Αύγουστο 2025, ο δράστης ισχυρίστηκε ότι ανακάλυψε μια ευπάθεια Remote Code Execution (RCE) μέσω κακόβουλου npm package που δημοσίευσε ο ίδιος, εξηγώντας ότι κατάφερε να εκτελέσει το preinstall script του σε μηχάνημα-στόχο.
Μεταξύ των online ταυτοτήτων που συνδέονται με την ίδια επιχείρηση περιλαμβάνονται τα jpd12, jpd13, npmhell, npmpackagejpd, npmtestdharsh, jpdhackerone11 και packagedharsh. Τουλάχιστον δύο διαφορετικοί λογαριασμοί npm που διατηρούσε ο δράστης έχουν πλέον απενεργοποιηθεί. Επίσης, εντοπίστηκαν ενδείξεις ότι ο δράστης επιχείρησε να ανεβάσει πακέτα και στο Python Package Index (PyPI) με κώδικα information stealer που παρουσιάζει ομοιότητες με το PhantomRaven.
Η CrowdStrike επισημαίνει ότι δεν έχει παρατηρήσει τα κλεμμένα δεδομένα να εμφανίζονται σε stealer log shops ή underground forums, γεγονός που ενισχύει την υπόθεση ότι ο δράστης χρησιμοποιεί το PhantomRaven αποκλειστικά για να εντοπίζει ευκαιρίες bug bounty. Αυτή η στρατηγική — να χρησιμοποιείς κακόβουλο λογισμικό για να αποδείξεις την ύπαρξη ευπάθειας και στη συνέχεια να διεκδικείς ανταμοιβή — αποτελεί σοβαρή παραβίαση των όρων των νόμιμων προγραμμάτων bug bounty και ενδέχεται να συνιστά ποινικό αδίκημα.
Προστασία από PhantomRaven και παρόμοιες απειλές npm
Η απειλή που αντιπροσωπεύει το PhantomRaven υπογραμμίζει την ανάγκη για αυστηρότερες πρακτικές ασφαλείας στην ανάπτυξη λογισμικού. Οι οργανισμοί και οι προγραμματιστές θα πρέπει να εφαρμόζουν Software Composition Analysis (SCA) εργαλεία που ελέγχουν τις εξαρτήσεις πριν την εγκατάσταση, να χρησιμοποιούν lockfiles για να αποτρέπουν την αυτόματη ανάκτηση απρόβλεπτων εκδόσεων και να παρακολουθούν ενεργά τα network connections που δημιουργούνται κατά την εγκατάσταση πακέτων.
Δείτε επίσης: Apple Bug Bounty: Η μέγιστη αμοιβή $2 εκατομμύρια, $35 εκατομμύρια μέχρι σήμερα
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Επιπλέον, είναι κρίσιμο να εφαρμόζεται η αρχή του least privilege στα CI/CD pipelines, ώστε ακόμα και αν ένα κακόβουλο πακέτο εκτελεστεί, να μην έχει πρόσβαση σε ευαίσθητα secrets και credentials. Η χρήση secret scanning εργαλείων και η τακτική εναλλαγή API keys μπορούν επίσης να περιορίσουν τη ζημιά σε περίπτωση παραβίασης. Τα GitHub Actions και άλλες πλατφόρμες CI/CD προσφέρουν ενσωματωμένες δυνατότητες για την προστασία secrets που πρέπει να αξιοποιούνται πλήρως.
Το φαινόμενο της χρήσης AI για τη δημιουργία malware δεν είναι νέο, αλλά η υπόθεση PhantomRaven αποτελεί ένα από τα πιο τεκμηριωμένα παραδείγματα μέχρι σήμερα. Καθώς τα LLM γίνονται ολοένα πιο προσιτά και ισχυρά, αναμένεται να δούμε περισσότερους απειλητικούς παράγοντες χωρίς βαθιά τεχνική κατάρτιση να αναπτύσσουν εξελιγμένα εργαλεία επίθεσης. Αυτό θέτει νέες προκλήσεις για την κοινότητα κυβερνοασφάλειας, η οποία πρέπει να προσαρμόσει τις μεθόδους ανίχνευσης και απόκρισης. Σύμφωνα με το The Hacker News, η CrowdStrike συνεχίζει να παρακολουθεί τον δράστη και να συνεργάζεται με τις αρμόδιες αρχές.
