30/09/2026 · VietTechies · Biên tập
Theo báo cáo của The Hacker News, dẫn nghiên cứu từ OX Security, một nhóm gồm 101 gói npm độc hại đã được sử dụng để tự ý thêm tài khoản WhatsApp của các nhà phát triển vào những nhóm và kênh mà họ không cho phép. Liên quan đến chiến dịch mang tên PhantomSub, các gói này đã được tải xuống khoảng 490.000 lần, trong đó có 116.000 lượt trong 30 ngày gần nhất.
Khi dependency trở thành kênh phát tán
Các gói này lợi dụng Baileys, một dự án WhatsApp mã nguồn mở dùng để kết nối phần mềm với tài khoản WhatsApp. Chiến dịch được báo cáo nhắm vào những nhà phát triển cài các bản fork Baileys đã bị chỉnh sửa, sau đó sử dụng phiên bot đã xác thực của họ để tạo ra những lượt đăng ký ngoài ý muốn. Theo các phát hiện trước đó được báo cáo dẫn lại, một số biến thể còn khiến tài khoản theo dõi những kênh do kẻ tấn công kiểm soát hoặc chèn URL quảng cáo vào nội dung hình ảnh, video do bot gửi đi.
Ba cách triển khai
OX Security xác định ba phiên bản của cơ chế đăng ký trong các gói nói trên. Một nhóm gồm 19 gói lấy mã định danh kênh từ GitHub khi mã chạy. 60 gói khác nhúng trực tiếp các mã này trong mã nguồn, còn 14 gói sử dụng mã định danh đã được mã hóa hoặc làm rối. Dù có tên và nhà phát hành khác nhau, các gói vẫn liên quan với nhau thông qua những ID kênh lặp lại, các danh sách từ xa và những tài khoản GitHub xuất hiện trên nhiều gói.
Đối tượng người theo dõi bị thu thập
Các nhà nghiên cứu liên hệ ít nhất một nhóm WhatsApp bị nhắm mục tiêu với Indonesia. Nhóm này quảng bá tài khoản và dịch vụ liên quan đến trò chơi, ứng dụng di động, trong đó có Mobile Legends: Bang Bang và TikTok. Những kênh khác được nhận diện chuyên tiếp thị tập lệnh bot, dịch vụ xây dựng bot, APK cao cấp và dịch vụ tăng tương tác trên mạng xã hội. Số người theo dõi được báo cáo dao động từ vài trăm đến vài nghìn, đóng vai trò như bằng chứng xã hội cho các đơn vị vận hành kênh.
Nhà phát triển bị ảnh hưởng nên kiểm tra gì
Các nhà phát triển được khuyến nghị kiểm tra tài khoản WhatsApp để phát hiện những nhóm hoặc kênh mà họ không ngờ tới, đồng thời chặn các lượt thêm không mong muốn. Báo cáo cũng đề xuất thiết lập quy tắc phát hiện đối với những gói Baileys độc hại đã được xác định và thận trọng với các gói yêu cầu tài khoản WhatsApp cá nhân duy trì kết nối. Những phát hiện này không chứng minh rằng mọi bản fork Baileys đều độc hại; phạm vi được nêu chỉ liên quan đến nhóm gói được quy cho chiến dịch PhantomSub.
Ảnh minh họa do AI tạo, không phải ảnh tư liệu.
Nguồn: 101 Malicious npm Packages Add Developers' WhatsApp Accounts to Groups Without Consent