Giả danh accelerator Web3 phát tán mã độc qua npm để chiếm quyền điều khiển AI agent

Các nhà nghiên cứu bảo mật đã xác định một cuộc tấn công chuỗi cung ứng tinh vi, giả danh một chương trình tăng tốc (accelerator) thuộc lĩnh vực vốn đầu tư mạo hiểm Web3. Chiến dịch này, được theo dõi với mã hiệu REF8801, đã phân phối các gói npm độc hại nhằm lây nhiễm vào máy của lập trình viên và chiếm quyền điều khiển quy trình làm việc của trí tuệ nhân tạo. Mục tiêu của chiến dịch là các startup tiền điện tử, bằng cách mời chào miễn phí tín dụng AI và các bản kiểm toán bảo mật thông qua những công cụ giả mạo.

Chuyện gì đã xảy ra

Các nhóm đe dọa đã giả mạo Apex Accelerator, một tổ chức tự nhận cung cấp khoản đầu tư và quan hệ đối tác cho các dự án crypto. Họ đã công bố hai gói npm chính, @apexacc/cli và @apexacc/audit, dưới tài khoản người dùng "apexaccelerator". Các gói này được quảng cáo lần lượt là cố vấn AI dành cho nhà sáng lập và trình quét bảo mật cho hợp đồng thông minh. Các kho GitHub liên quan và các gói npm sau đó đã bị gỡ bỏ, nhưng không trước khi gây tổn hại cho nhiều hệ thống.

Sau khi được cài đặt, các gói này không cung cấp tính năng như đã hứa. Thay vào đó, chúng hoạt động như trình nạp mã độc đặc thù cho từng nền tảng. Trên hệ thống Windows, phần mềm triển khai một trình đánh cắp thông tin tùy chỉnh, truyền dữ liệu ra ngoài qua Telegram. Trên macOS, nó cài đặt một cửa hậu (backdoor) có tên CloudSyncD. Ngoài việc đánh cắp dữ liệu truyền thống, mã độc còn cấu hình lại các AI agent cục bộ để định tuyến yêu cầu tới mô hình ngôn ngữ lớn (LLM) qua hạ tầng do tin tặc kiểm soát, cho phép các đối tượng vận hành chặn đứng prompt, đoạn mã và lịch sử hội thoại.

Chi tiết chính

• Chiến dịch sử dụng hai gói npm chính: @apexacc/cli và @apexacc/audit, liên kết với tổ chức giả mạo Apex Foundation.
• Nạn nhân trên Windows nhận được một trình nạp đa giai đoạn, vượt qua User Account Control và vá các giao diện bảo mật như AMSI và ETW.
• Nạn nhân trên macOS bị nhắm mục tiêu bởi CloudSyncD, sử dụng các hộp thoại ủy quyền giả mạo để giành đặc quyền sudo và duy trì sự hiện diện trên hệ thống.
• Mã độc chuyển hướng lưu lượng LLM của OpenRouter và đăng ký một máy chủ Model Context Protocol độc hại để ảnh hưởng đến hành vi của AI agent.
• Các phiên bản trước của chiến dịch này vào tháng 7 năm 2026 đã phân phối các gói như @apexfdn/apex và @copilot-mcp/apex.
• Elastic Security Labs ghi nhận các bình luận bằng tiếng Nga trong mã nguồn, mặc dù xuất xứ của tin tặc vẫn chưa được xác nhận.

Bối cảnh

Các cuộc tấn công chuỗi cung ứng trong hệ sinh thái JavaScript thường dựa vào việc lập trình viên tin tưởng các trình quản lý gói phổ biến như npm. Tin tặc tạo ra các gói có tên và mô tả bắt chước các công cụ hợp pháp hoặc cung cấp dịch vụ giá trị cao, chẳng hạn như quyền truy cập AI miễn phí hoặc kiểm toán bảo mật. Khi lập trình viên cài đặt các gói này, mã độc sẽ thực thi trong quá trình cài đặt hoặc lúc chạy, thường tải thêm payload từ các máy chủ bên ngoài.

Model Context Protocol (MCP) là một tiêu chuẩn mới nổi cho phép AI agent tương tác với các công cụ và nguồn dữ liệu bên ngoài. Bằng cách đăng ký một máy chủ MCP độc hại, tin tặc có thể chen chân vào vòng lặp ra quyết định của AI agent. Điều này cho phép chúng không chỉ gián điệp dữ liệu đang được xử lý mà còn chèn các chỉ thị giả hoặc định nghĩa công cụ, có khả năng khiến agent thực hiện các hành động ngoài ý muốn hoặc rò rỉ ngữ cảnh nhạy cảm.

Tại sao điều này quan trọng

Đối với các đội ngũ vận hành phần mềm riêng, sự cố này nhấn mạnh rủi ro khi tích hợp các công cụ phát triển của bên thứ ba mà không có quy trình xác minh nghiêm ngặt. Lời hứa về tín dụng AI miễn phí hoặc trình quét bảo mật chuyên dụng có thể làm giảm cảnh giác, dẫn đến việc kỹ sư cài đặt phần mềm chưa được kiểm duyệt. Sự xâm phạm vượt ra ngoài việc đánh cắp dữ liệu đơn thuần; bằng cách chiếm quyền điều khiển lưu lượng của AI agent, tin tặc thu được tầm nhìn vào mã nguồn độc quyền, các thảo luận nội bộ và tài liệu hoạch định chiến lược được chia sẻ với trợ lý AI.

Sự tinh vi về mặt kỹ thuật của mã độc cho thấy xu hướng nhắm mục tiêu trực tiếp vào quy trình làm việc phát triển. Trình nạp trên Windows chủ động vô hiệu hóa các tính năng giám sát bảo mật, trong khi thành phần trên macOS lợi dụng kỹ thuật xã hội để đạt được đặc quyền nâng cao. Điều này có nghĩa là các giải pháp bảo vệ endpoint tiêu chuẩn có thể bị mù nếu mã độc nạp thành công, khiến việc phát hiện trở nên khó khăn cho đến khi quan sát thấy hiện tượng truyền dữ liệu ra ngoài. Hơn nữa, việc chuyển hướng lưu lượng AI ngụ ý rằng ngay cả khi máy cục bộ được dọn sạch, dữ liệu lịch sử đã gửi đến API do tin tặc kiểm soát có thể đã bị xâm phạm.

Bạn có thể làm gì

• Kiểm toán định kỳ các phụ thuộc npm và loại bỏ bất kỳ gói nào từ các nhà xuất bản không rõ ràng hoặc chưa được xác minh, đặc biệt là những gói cung cấp dịch vụ AI miễn phí.
• Giám sát lưu lượng mạng đi ra từ các máy phát triển để tìm kiếm các kết nối bất thường đến các miền không xác định hoặc điểm cuối API không mong đợi.
• Hạn chế quyền của AI agent và trợ lý lập trình để ngăn chúng truy cập vào các kho chứa nhạy cảm hoặc công cụ nội bộ mà không có sự phê duyệt rõ ràng.
• Áp dụng danh sách trắng (allow-listing) nghiêm ngặt cho các máy chủ Model Context Protocol để đảm bảo agent chỉ kết nối với các dịch vụ đáng tin cậy và đã được xác minh.
• Sử dụng môi trường cô lập hoặc container để thử nghiệm các công cụ và script phát triển mới trước khi cài đặt chúng lên máy trạm chính.
• Giáo dục các thành viên trong nhóm về rủi ro khi cài đặt công cụ CLI từ liên kết mạng xã hội hoặc các lời đề nghị đầu tư không được yêu cầu.