Un faux accélérateur Web3 diffuse des malwares via npm pour détourner des agents IA

Des chercheurs en sécurité ont identifié une attaque sophistiquée de la chaîne d'approvisionnement se faisant passer pour un accélérateur de capital-risque Web3. L'opération, suivie sous la référence REF8801, a distribué des paquets npm malveillants conçus pour infecter les machines des développeurs et détourner les flux de travail de l'intelligence artificielle. Cette campagne ciblait les startups cryptographiques en offrant des crédits IA gratuits et des audits de sécurité via de faux outils.

Ce qui s'est passé

Les acteurs de la menace se sont présentés comme Apex Accelerator, une entente prétendant offrir des investissements et des partenariats aux projets crypto. Ils ont publié deux principaux paquets npm, @apexacc/cli et @apexacc/audit, sous le compte utilisateur "apexaccelerator". Ces paquets étaient présentés respectivement comme un conseiller IA pour les fondateurs et un scanner de sécurité pour les contrats intelligents. Les dépôts GitHub associés et les paquets npm ont depuis été supprimés, mais pas avant d'avoir compromis de nombreux systèmes.

Une fois installés, ces paquets ne fournissaient pas les fonctionnalités promises. Au lieu de cela, ils agissaient comme des chargeurs de logiciels malveillants spécifiques à chaque plateforme. Sur les systèmes Windows, le logiciel déployait un voleur d'informations personnalisé qui exfiltrait les données via Telegram. Sur macOS, il installait une porte dérobée connue sous le nom de CloudSyncD. Au-delà du vol traditionnel de données, le malware reconfigurait les agents IA locaux pour router les requêtes vers les grands modèles de langage (LLM) via une infrastructure contrôlée par les attaquants, permettant aux opérateurs d'intercepter les invites, les extraits de code et l'historique des conversations.

Détails clés

• La campagne utilisait deux principaux paquets npm : @apexacc/cli et @apexacc/audit, liés à la fausse Apex Foundation.
• Les victimes sous Windows recevaient un chargeur multi-étapes qui contourne le Contrôle de compte d'utilisateur (UAC) et patche les interfaces de sécurité telles que AMSI et ETW.
• Les victimes sous macOS étaient ciblées avec CloudSyncD, qui utilise de fausses demandes d'autorisation pour obtenir des privilèges sudo et persister sur le système.
• Le malware redirige le trafic OpenRouter LLM et enregistre un serveur malveillant du Model Context Protocol pour influencer le comportement des agents IA.
• Des itérations précédentes de cette campagne en juillet 2026 ont distribué des paquets tels que @apexfdn/apex et @copilot-mcp/apex.
• Elastic Security Labs a noté des commentaires en russe dans le code source, bien que l'origine des attaquants reste non confirmée.

Contexte

Les attaques de la chaîne d'approvisionnement dans l'écosystème JavaScript reposent souvent sur la confiance des développeurs envers des gestionnaires de paquets populaires comme npm. Les attaquants créent des paquets dont les noms et descriptions imitent des outils légitimes ou offrent des services à haute valeur ajoutée, tels qu'un accès gratuit à l'IA ou des audits de sécurité. Une fois que le développeur installe ces paquets, le code malveillant s'exécute lors de l'installation ou à l'exécution, téléchargeant souvent des charges utiles supplémentaires depuis des serveurs externes.

Le Model Context Protocol (MCP) est une norme émergente qui permet aux agents IA d'interagir avec des outils externes et des sources de données. En enregistrant un serveur MCP malveillant, les attaquants peuvent s'insérer dans la boucle de prise de décision d'un agent IA. Cela leur permet non seulement d'espionner les données traitées, mais aussi d'injecter de fausses instructions ou définitions d'outils, pouvant amener l'agent à effectuer des actions non intentionnelles ou à divulguer des contextes sensibles.

Pourquoi c'est important

Pour les équipes développant leurs propres logiciels, cet incident met en évidence le risque lié à l'intégration d'outils de développement tiers sans vérification rigoureuse. La promesse de crédits IA gratuits ou de scanners de sécurité spécialisés peut abaisser les garde-fous, poussant les ingénieurs à installer des logiciels non vérifiés. La compromission va au-delà du simple vol de données ; en détournant le trafic des agents IA, les attaquants obtiennent une visibilité sur les bases de code propriétaires, les discussions internes et les documents de planification stratégique partagés avec les assistants IA.

La sophistication technique du malware démontre un glissement vers la cible même du flux de travail de développement. Le chargeur Windows désactive activement les fonctionnalités de surveillance de la sécurité, tandis que le composant macOS exploite l'ingénierie sociale pour obtenir des privilèges élevés. Cela signifie que la protection standard des points de terminaison peut être aveuglée si le malware se charge avec succès, rendant la détection difficile jusqu'à ce que l'exfiltration de données soit observée. De plus, la redirection du trafic IA implique que, même si la machine locale est nettoyée, les données historiques envoyées aux API contrôlées par les attaquants peuvent déjà être compromises.

Que pouvez-vous faire

• Auditez régulièrement vos dépendances npm et supprimez tous les paquets provenant d'éditeurs inconnus ou non vérifiés, en particulier ceux offrant des services IA gratuits.
• Surveillez le trafic réseau sortant des machines de développement pour repérer les connexions inhabituelles vers des domaines inconnus ou des points de terminaison API inattendus.
• Restreignez les autorisations des agents IA et des assistants de codage pour leur empêcher d'accéder aux dépôts sensibles ou aux outils internes sans approbation explicite.
• Mettez en œuvre une liste blanche stricte pour les serveurs du Model Context Protocol afin de garantir que les agents ne se connectent qu'à des services fiables et vérifiés.
• Utilisez des environnements isolés ou des conteneurs pour tester les nouveaux outils et scripts de développement avant de les installer sur les postes de travail principaux.
• Sensibilisez les membres de votre équipe aux risques liés à l'installation d'outils CLI à partir de liens sur les réseaux sociaux ou d'offres d'investissement non sollicitées.