Các gói npm Bitcoin độc hại đã phát tán phần mềm độc hại NodeCordRAT trước khi bị gỡ bỏ

Nguồn: CryptoNewsNet Tiêu đề gốc: Các gói npm Bitcoin độc hại phát tán phần mềm độc hại NodeCordRAT trước khi bị gỡ bỏ Liên kết gốc: Các nhà nghiên cứu tại Zscaler ThreatLabz đã phát hiện ba gói npm Bitcoin độc hại nhằm cấy phần mềm độc hại có tên NodeCordRAT. Báo cáo cho biết tất cả đều có hơn 3.400 lượt tải xuống trước khi bị gỡ khỏi registry npm.

Các gói này, bao gồm bitcoin-main-lib, bitcoin-lib-js và bip40, đã tích lũy lần lượt 2.300, 193 và 970 lượt tải. Bằng cách sao chép tên và chi tiết từ các thành phần Bitcoin thực, kẻ tấn công đã làm cho các module giả này trông có vẻ vô hại khi nhìn qua.

“Các gói bitcoin-main-lib và bitcoin-lib-js thực thi một script postinstall.cjs trong quá trình cài đặt, điều này cài đặt bip40, gói chứa payload độc hại,” các nhà nghiên cứu của Zscaler ThreatLabz, Satyam Singh và Lakhan Parashar cho biết. “Payload cuối cùng này, được ThreatLabz đặt tên là NodeCordRAT, là một phần mềm Trojan truy cập từ xa (RAT) với khả năng đánh cắp dữ liệu nhạy cảm.”

NodeCordRAT được trang bị khả năng đánh cắp thông tin đăng nhập của Google Chrome, mã API lưu trong các tệp .env, và dữ liệu ví MetaMask như khóa riêng và cụm seed.

Các nhà phân tích của Zscaler ThreatLabz đã xác định nhóm này vào tháng 11 khi quét registry npm để tìm các gói đáng ngờ và các mẫu tải xuống lạ. NodeCordRAT đại diện cho một họ phần mềm độc hại mới tận dụng các máy chủ Discord để điều khiển và chỉ huy (C2).

Người đăng tất cả ba gói độc hại này sử dụng địa chỉ email supertalented730@gmail.com.

Chuỗi tấn công

Chuỗi tấn công bắt đầu khi các nhà phát triển vô tình cài đặt bitcoin-main-lib hoặc bitcoin-lib-js từ npm. Sau đó, nó xác định đường dẫn của gói bip40 và khởi chạy nó ở chế độ tách rời bằng PM2.

Phần mềm độc hại tạo ra một định danh duy nhất cho các máy bị xâm nhập theo định dạng platform-uuid, ví dụ như win32-c5a3f1b4. Nó thực hiện điều này bằng cách trích xuất UUID hệ thống qua các lệnh như wmic csproduct get UUID trên Windows hoặc đọc /etc/machine-id trên các hệ thống Linux.

Bối cảnh lịch sử: Các gói Node độc hại trong Crypto

Trust Wallet đã báo cáo rằng việc trộm gần 8,5 triệu đô la liên quan đến một cuộc tấn công vào chuỗi cung ứng hệ sinh thái npm bởi “Sha1-Hulud NPM.” Hơn 2.500 ví đã bị ảnh hưởng.

Các hacker đã sử dụng các gói npm bị xâm phạm như Trojan kiểu NodeCordRAT và phần mềm độc hại chuỗi cung ứng, tích hợp chúng vào mã phía khách hàng để đánh cắp tiền từ người dùng khi họ truy cập ví của mình.

Các ví dụ khác trong năm 2025 có nét tương đồng với mối đe dọa kiểu NodeCordRAT bao gồm khai thác Force Bridge, diễn ra từ tháng 5 đến tháng 6 năm 2025. Kẻ tấn công đã đánh cắp phần mềm hoặc khóa riêng của các nút xác thực dùng để ủy quyền rút tiền chéo chuỗi. Điều này biến các nút thành các tác nhân độc hại có thể phê duyệt các giao dịch gian lận.

Việc này dẫn đến thiệt hại ước tính khoảng 3,6 triệu đô la tài sản bị đánh cắp, bao gồm ETH, USDC, USDT và các token khác. Nó cũng buộc cầu nối phải ngừng hoạt động và tiến hành kiểm toán.

Vào tháng 9, khai thác Shibarium Bridge đã diễn ra, và các kẻ tấn công đã có thể kiểm soát phần lớn quyền lực của các validator trong một thời gian ngắn. Điều này cho phép họ làm các validator xấu, ký các rút tiền trái phép, và lấy khoảng 2,8 triệu đô la SHIB, ETH và token BONE.