08/10/2026 · VietTechies · Biên tập
Các công ty nghiên cứu an ninh mạng CloudSEK và Checkmarx vừa phát hiện một chiến dịch tấn công chuỗi cung ứng npm mang tên mã MALFEX. Chiến dịch này chuyên phát tán các Trojan điều khiển từ xa (RAT) và công cụ đánh cắp thông tin đến các hệ điều hành Windows bị thao túng. Từ tháng 8 năm 2023, một kẻ tấn công duy nhất đã xuất bản 12 gói phần mềm, trong đó 8 gói được xác định chứa mã độc và đã thu hút tổng cộng 40.767 lượt tải xuống.
Lợi dụng hook trong chu kỳ đóng gói phần mềm
Gói phần mềm được phát tán rộng rãi nhất trong chiến dịch này là function-flag, chiếm tới 37.419 lượt tải tính từ lần phát hành đầu tiên vào tháng 7 năm 2024. Gói này lợi dụng các hook postinstall của npm để thực thi tệp mã JavaScript. Trong phiên bản 1.7.3, việc gọi một hàm tạo hình nghệ thuật ASCII với đối số phông chữ Bloody sẽ kích hoạt quy trình ẩn, tải tệp node.exe bị giấu từ một nhà cung cấp dịch vụ lưu trữ tại Brazil về thư mục APPDATA trên máy cục bộ. Một gói khác có tên function-color tuy không chứa trực tiếp mã độc nhưng lại kích hoạt quy trình này bằng cách khai báo function-flag làm thư viện phụ thuộc.
Địa chỉ C2 trên Solana và phần mềm đánh cắp dữ liệu
Chiến dịch MALFEX sử dụng ba con đường chính để tấn công các máy tính chạy hệ điều hành Windows. Các gói mang tên tlxbnhd, tldriver và mxdriver đóng vai trò là trình tải cho Overlord RAT — một công cụ mã nguồn mở viết bằng ngôn ngữ Go có khả năng trích xuất địa chỉ máy chủ điều khiển (C2) từ các giao dịch trên chuỗi khối Solana. Một chuỗi tấn công khác liên quan đến img-to-native và cdn-img-fetch, có nhiệm vụ tải về một tệp thực thi viết bằng Go để triển khai công cụ đánh cắp dữ liệu bằng Node.js có tên movinlike. Mã độc thứ cấp này chuyên thu thập các dữ liệu nhạy cảm từ trình duyệt web, Discord, Telegram và ví tiền mã hóa.
Chân dung thủ phạm và hạ tầng mở rộng
Dấu vết thu thập được cho thấy kẻ đứng sau là một đối tượng nói tiếng Bồ Đào Nha và sử dụng tài khoản mạng xã hội liên quan đến Brazil. Lịch sử tải mã nguồn (commit) của đối tượng này nằm trong múi giờ -0300, cùng các mô tả dự án ghi nhận đóng góp từ nhóm Malfex. Ngoài hệ sinh thái npm, các nhà phân tích an ninh mạng còn lưu ý rằng Overlord RAT từng xuất hiện trong nhiều chiến dịch lợi dụng lỗ hổng bảo mật WordPress như CVE-2026-63030 và CVE-2026-60137, cũng như trong một chiến dịch trên hệ điều hành macOS sử dụng bộ cài đặt Zoom giả mạo.
Ảnh minh họa do AI tạo, không phải ảnh tư liệu.
Nguồn: Eight Malicious npm Packages Downloaded 40,767 Times Deliver Overlord RAT and Stealer