Cảnh báo Chuỗi cung ứng

Phát hiện gói npm độc hại đánh cắp tệp tin từ thư mục người dùng Claude AI

Một chiến dịch tấn công chuỗi cung ứng mới có tên mã "Malware-Slop" đã được phát hiện trên registry npm, nhắm trực tiếp vào các môi trường sử dụng công cụ AI Claude của Anthropic để trích xuất dữ liệu trái phép.

Cơ chế hoạt động của Malware-Slop

Gói npm độc hại được xác định có tên là "mouse5212-super-formatter". Thay vì cung cấp các tính năng định dạng mã nguồn như tên gọi, kịch bản này tự đóng giả là một tiện ích nội bộ để triển khai và đồng bộ hóa kho lưu trữ GitHub.

Mục tiêu tấn công

Mã độc nhắm vào đường dẫn /mnt/user-data, đây là thư mục chuyên dụng mà Claude AI sử dụng để xử lý các tệp tin tải lên và dữ liệu đầu ra trong môi trường làm việc.

Phương thức đánh cắp

Nó truy cập vào các GitHub token có sẵn trong môi trường nạn nhân hoặc sử dụng một token được nhúng sẵn để tự động tạo kho lưu trữ mới và tải toàn bộ tệp tin của người dùng lên đó.

Ngụy trang tinh vi

Mã độc tạo ra các bản ghi "trạng thái mạng" giả mạo để đánh lừa người dùng rằng hệ thống đang gửi thông tin chẩn đoán thông thường thay vì đánh cắp dữ liệu.

Sai lầm hy hữu của kẻ tấn công

Các nhà nghiên cứu tại OX Security lưu ý rằng gói độc hại này đã vô tình làm rò rỉ cả private token của chính kẻ tấn công. Điều này làm dấy lên nghi vấn rằng mã độc này có thể đã được tạo ra bằng chính trí tuệ nhân tạo (AI) nhưng kẻ tấn công lại thiếu các kỹ năng bảo mật vận hành (OPSEC) cơ bản.

HÀNH ĐỘNG KHẨN CẤP DÀNH CHO NHÀ PHÁT TRIỂN

✅ Gỡ bỏ ngay lập tức: Thực hiện lệnh npm uninstall mouse5212-super-formatter nếu phát hiện sự tồn tại của gói này.
✅ Thu hồi GitHub Token: Nếu bạn đã vô tình cài đặt gói này, hãy thu hồi tất cả Personal Access Tokens trên GitHub ngay lập tức.
✅ Kiểm soát môi trường AI: Giới hạn quyền truy cập vào thư mục /mnt/user-data và giám sát các tiến trình lạ yêu cầu kết nối ra ngoài internet.
✅ Rà soát log hệ thống: Kiểm tra các hoạt động tạo repository bất thường trên tài khoản GitHub cá nhân và tổ chức.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Cảnh báo: Gói npm độc hại Malware-Slop đánh cắp dữ liệu người dùng Claude AI