Kẻ tấn công sử dụng LLM để tạo mã độc PhantomRaven nhắm vào hệ sinh thái npm

Một đối tượng tấn công mạng với động cơ tài chính đã bị phát hiện đứng sau quá trình phát triển và phân phối mã độc đánh cắp thông tin (information stealer) dựa trên JavaScript có tên là PhantomRaven thông qua kho lưu trữ gói phần mềm npm.

Theo báo cáo phân tích mới nhất từ CrowdStrike, có khả năng cao kẻ đứng sau đã tận dụng các mô hình ngôn ngữ lớn (LLM) để viết mã độc này. Các chuyên gia đưa ra kết luận trên dựa trên các đặc điểm như chú thích mã nguồn dài dòng, các đoạn mã giữ chỗ (placeholder code) và các mô hình phân tích token thống kê đặc trưng.

PhantomRaven lần đầu được phát hiện bởi Koi Security và DCODX vào cuối tháng 10/2025. Chiến dịch này sử dụng kỹ thuật typosquatting (đặt tên gói gần giống các thư viện phổ biến) và slopsquatting với hơn 100 gói độc hại được tải lên npm. Mục tiêu chính là đánh cắp các token xác thực, thông tin CI/CD và thông tin đăng nhập GitHub từ máy tính của các lập trình viên.

Điểm đáng chú ý trong cuộc tấn công chuỗi cung ứng phần mềm này là việc sử dụng các gói npm làm vỏ bọc để tải về một phụ thuộc động từ xa (remote dynamic dependency – RDD) từ server của kẻ tấn công. Kỹ thuật này giúp các thư viện gốc không bị các công cụ bảo mật quét phát hiện. Sau khi được cài đặt, mã độc sẽ quét môi trường phát triển để thu thập địa chỉ email, dấu vân tay hệ thống (system fingerprint), địa chỉ IP công cộng và các biến môi trường CI/CD từ GitHub Actions, GitLab CI, Jenkins và CircleCI.

Dữ liệu từ CrowdStrike cho thấy kẻ tấn công này đã hoạt động từ tháng 11/2022 và tự nhận mình là một thợ săn lỗi (bug bounty hunter). Đối tượng này tuyên bố đã nhận được tiền thưởng từ ít nhất 9 tổ chức trong các lĩnh vực công nghệ, bán lẻ và khách sạn. Tuy nhiên, CrowdStrike cho biết họ chưa thấy thông tin bị đánh cắp xuất hiện trên các chợ dữ liệu đen, cho thấy khả năng kẻ tấn công sử dụng mã độc này chủ yếu để tìm kiếm các lỗ hổng bảo mật nhằm trục lợi từ các chương trình bug bounty hợp pháp.

Các tài khoản npm liên quan đến chiến dịch này như jpdhellonpm1 hay jpd15 hiện đã bị vô hiệu hóa. Ngoài ra, có bằng chứng cho thấy kẻ tấn công cũng đã cố gắng phát tán mã độc tương tự lên kho lưu trữ Python (PyPI).

Việc sử dụng LLM để tạo mã độc một lần nữa cho thấy xu hướng các đối tượng tấn công đang ngày càng tận dụng trí tuệ nhân tạo để rút ngắn thời gian và công sức thực hiện các chiến dịch tấn công phức tạp, biến các lỗ hổng trong chuỗi cung ứng phần mềm thành đòn bẩy để thực hiện các hành vi trục lợi bất chính.

Nguồn tham khảo: The Hacker News