Cảnh báo: Các gói MemTensor bị xâm nhập phát tán mã độc đánh cắp thông tin sckit qua npm và PyPI

Các tác nhân đe dọa không xác định đã thành công trong việc xâm nhập hai gói MemTensor hợp pháp trên các kho lưu trữ npm và Python Package Index (PyPI). Mục tiêu của chúng là phát tán một implant Go-based đa nền tảng có tên sckit, được thiết kế để hoạt động trên Windows, Linux và macOS.

Theo báo cáo từ các công ty an ninh mạng như Aikido, SafeDep, Socket và StepSecurity, các thư viện bị ảnh hưởng bao gồm:

Gói npm @memtensor/memos-cloud-openclaw-plugin các phiên bản 0.1.21, 0.1.23 và 0.1.25 (lưu ý các phiên bản 0.1.22 và 0.1.24 không bị ảnh hưởng).
Gói PyPI MemoryOS phiên bản 2.0.34 (dự án này hiện đã bị cách ly trên PyPI).

StepSecurity cho biết, các phiên bản gói npm độc hại chứa một “payload Go ẩn vào một tích hợp bộ nhớ AI hợp pháp”. Mã độc này sẽ được kích hoạt khi cổng tác nhân khởi động hoặc bất cứ khi nào plugin xử lý sự kiện truy xuất bộ nhớ. Trình khởi chạy sẽ chuyển môi trường tiến trình máy chủ và, trong quá trình truy xuất, văn bản nhắc của người dùng trực tiếp đến tệp thực thi độc hại.

Đối với gói PyPI, tệp nhị phân Go được liên kết tĩnh sẽ khởi chạy ngay khi module “memos” được nhập vào một ứng dụng.

Dù nhắm mục tiêu vào hệ sinh thái nào, mục tiêu cuối cùng của kẻ tấn công là triển khai một payload đánh cắp thông tin xác thực đa nền tảng. Payload này có khả năng thu thập dữ liệu nhạy cảm từ các dịch vụ cloud, nền tảng mã nguồn, kho gói và các công cụ dành cho nhà phát triển, sau đó gửi các thông tin này đến một server bên ngoài có địa chỉ “skyleen[.]fr”.

Socket đã liệt kê các mục tiêu bao gồm npm, PyPI, GitHub, GitLab, AWS, Vault và các khóa SSH. Cụ thể, mã độc nhắm vào:

Các tệp chứa thông tin xác thực như .npmrc, .vault-token, id_ecdsa, credentials.db, access_tokens.json và stored_tokens.
Các biến môi trường chứa token, mật khẩu, API keys, private keys, session cookies và chuỗi kết nối cơ sở dữ liệu hoặc message-broker (ví dụ: NPM_TOKEN và PYPI_API_TOKEN).
Các khóa truy cập AWS, token GitHub và GitLab, token npm và PyPI, Hugging Face, HashiCorp Vault, Slack, Stripe, SendGrid keys và JWTs.

SafeDep, trong phân tích về cuộc tấn công chuỗi cung ứng này, cho biết kẻ tấn công đã lấy được các publish token từ chính các pipeline phát hành GitHub Actions của MemTensor bằng cách đẩy các commit khiến workflow chuyển giao token npm hoặc PyPI.

Kiểm tra sâu hơn về implant cho thấy nó có thể hoạt động như một loại worm, tự nhân rộng thông qua GitHub và việc publish trực tiếp các gói npm và PyPI. Hiện tại, vẫn chưa rõ liệu có các gói nào khác ngoài MemTensor bị ảnh hưởng bởi sự xâm nhập này hay không.

SafeDep nhấn mạnh: “Nó thu thập thông tin xác thực từ máy của nhà phát triển và từ các công việc CI. Nó nhận các tác vụ đã ký từ một server command-and-control (C2). Nó cũng chứa các template để tự cài đặt vào các gói npm, gói Python và các workflow GitHub Actions.”

Do các phiên bản độc hại của gói npm vẫn có sẵn để tải xuống, điều quan trọng là phải ghim các gói vào một phiên bản an toàn (0.1.20 cho gói npm, 2.0.33 cho gói PyPI), xoay vòng các secret đã bị lộ, tắt bất kỳ tiến trình sckit nào và chặn “skyleen[.]fr” cùng tất cả các subdomain của nó.

StepSecurity giải thích thêm: “Plugin MemOS Cloud kết nối runtime của tác nhân OpenClaw với một dịch vụ bộ nhớ. Công việc bình thường của nó bao gồm truy xuất các bộ nhớ liên quan trước khi tác nhân xử lý một prompt và thêm bộ nhớ sau khi chạy. Gói này cũng khai báo các điểm tích hợp cho các runtime Clawdbot và Moltbot.”

Điều này đặt plugin vào một tiến trình thường xuyên xử lý đầu vào của người dùng và có thể kế thừa các thông tin xác thực có giá trị. Trên một máy trạm của nhà phát triển, cùng một tài khoản người dùng có thể có quyền truy cập vào cấu hình cloud, kho lưu trữ mã nguồn, token publish gói và secret ứng dụng. Trong môi trường tự động hóa, tiến trình có thể nhận các thông tin xác thực được inject cho một công việc cụ thể.

Nguồn tham khảo: The Hacker News