Pohjois-Korea kiistää osallisuutensa npm-hyökkäyksiin 11 maan varoituksen jälkeen

Kaksi hiljattain paljastunutta kampanjaa osoittavat, kuinka pohjoiskorealaiset hakkeriryhmät kiihdyttävät hyökkäyksiään avoimen lähdekoodin ohjelmistoympäristöjä vastaan vaarantamalla laajasti käytettyjä JavaScript-paketteja ja hyödyntämällä lohkoketjuteknologiaa haittaohjelmien infrastruktuurin piilottamiseen.

Amazon yhdistää neljä npm-hyökkäystä Sapphire Sleet -ryhmään

Amazon Amazon.com, Inc. ↘ 2.24% Threat Intelligence julkaisi 28. heinäkuuta raportin, joka yhdistää neljä npm-toimitusketjun vaarantumista (koskien paketteja Axios, debug, chalk ja typo-crypto) Pohjois-Koreaan liitettyyn Sapphire Sleet -toimijaan. Kampanja kesti maaliskuusta 2025 maaliskuuhun 2026, ja Amazon arvioi kytkennän kohtalaisen varmaksi perustuen jaettuihin hallinta- ja komentopalvelimiin, koodin uudelleenkäyttöön sekä asennuksen jälkeisiin komentokoukkuihin.esecurityplanet+2

Sen sijaan, että hyökkääjät olisivat hyödyntäneet teknisiä haavoittuvuuksia npm-infrastruktuurissa, he ottivat kohteekseen suosittujen pakettien ylläpitoon valtuutetut kehittäjät. He käyttivät sosiaalista manipulointia varastaakseen kirjautumistietoja ja syöttääkseen haitallisia päivityksiä laillisten tilien kautta. Pelkästään Axiosta ladataan viikoittain yli 100 miljoonaa kertaa, mikä kuvaa altistumisen mahdollista laajuutta.linkedin+2

Ethereum-transaktiot naamioivat haittaohjelmapalvelimia

Erikseen OpenSource Malware -tutkijat havaitsivat "NullReceiver"-nimellä kutsumansa tekniikan kahdesta haitallisesta npm-paketista (bianira-ui ja fluid-type-ui), jotka tekeytyivät Tailwind CSS -lisäosiksi. Tekniikka koodaa hallinta- ja komentopalvelimen IP-osoitteen tyhjän Ethereum-transaktion vastaanottajakenttään, jolloin toiminta näyttää täysin tavallisilta lompakkosiirroilta.cybersecuritynews+2

Nämä nollan arvoiset transaktiot eivät sisällä älykkäiden sopimusten kutsuja tai hyötykuormadataa, minkä ansiosta haittaohjelma voi hakea ohjeita julkisesta lohkoketjusta, jota puolustajien on vaikea sulkea. OpenSource Malware yhdisti kampanjan Pohjois-Koreaan kytkeytyvään Contagious Interview -operaatioon, joka on toistuvasti ottanut kohteekseen kehittäjiä uskottavien ohjelmistosyöttien avulla.cybersecuritynews

Kansainvälinen reaktio ja Pjongjangin kiistäminen

Löydökset julkaistiin vain päiviä sen jälkeen, kun Yhdysvallat, Etelä-Korea, Japani ja kahdeksan muuta maata antoivat 1. elokuuta yhteisen varoituksen siitä, että Pohjois-Korean IT-työntekijät käyttävät vääriä henkilöllisyyksiä ja tekoälytyökaluja saadakseen etätöitä ja ohjatakseen tuloja Pjongjangin aseohjelmiin. FBI ilmoitti, että kahdeksan henkilöä on tuomittu vankeuteen vuonna 2026 roolistaan tällaisissa hankkeissa.upi+2

Pohjois-Korea vastasi tiistaina valtiollisen uutistoimisto KCNA:n kautta kutsuen varoituksia "poliittisesti motivoiduiksi" ja syyttäen Yhdysvaltoja "kyberavaruuden militarisoinnista". Ulkoministeriön edustaja tyrmäsi yhteisen varoituksen yrityksenä "tahrata sen mainetta ja oikeuttaa suvereeneihin valtioihin kohdistuva painostus".reuters