Điểm chính

  • Tổ chức giả mạo 'Apex' triển khai chiến dịch tấn công chuỗi cung ứng nhắm vào các nhà phát triển Web3 thông qua các gói npm độc hại.
  • Kẻ tấn công ngụy trang dưới dạng chương trình tăng tốc dự án, cung cấp công cụ AI và dịch vụ kiểm định hợp đồng thông minh giả để tạo lòng tin.
  • Hệ thống của nạn nhân bị xâm nhập đa nền tảng từ Windows đến macOS bằng mã độc đánh cắp thông tin và backdoor điều khiển từ xa.

Các nhà nghiên cứu bảo mật vừa phát đi cảnh báo về một chiến dịch tấn công chuỗi cung ứng có độ tinh vi cao, do một tổ chức mạo danh mang tên 'Apex' thực hiện nhằm vào các nhà sáng lập và lập trình viên hoạt động trong hệ sinh thái Web3.

Phương thức lừa đảo và tạo vỏ bọc tinh vi

Tổ chức giả mạo 'Apex' tự quảng bá bản thân như một chương trình tăng tốc khởi nghiệp dành riêng cho các dự án Web3. Nhằm tạo sự tin tưởng tuyệt đối với nạn nhân, nhóm này cung cấp nhiều dịch vụ hấp dẫn bao gồm không gian làm việc riêng biệt, dịch vụ kiểm định hợp đồng thông minh và các công cụ hỗ trợ lập trình tích hợp trí tuệ nhân tạo. Bên cạnh đó, chúng còn ngụy tạo các đánh giá tích cực và tích cực quảng bá về các sự kiện xoay quanh hội nghị công nghệ TOKEN2049 diễn ra tại Singapore.

Cơ chế phát tán mã độc qua npm

Để thực hiện hành vi xâm nhập, kẻ tấn công đã phát hành hai gói phần mềm độc hại lên kho lưu trữ npm với tên gọi là @apexacc/cli và @apexacc/audit. Ngay khi nhà phát triển tiến hành cài đặt các gói này thông qua trình quản lý gói npm hoặc lệnh npx, một chuỗi quá trình lây nhiễm phức tạp gồm nhiều giai đoạn sẽ được kích hoạt, trao cho kẻ tấn công quyền kiểm soát sâu vào hệ thống của nạn nhân.

Kịch bản tấn công trên Windows và macOS

Trên hệ điều hành Windows, các gói độc hại lợi dụng các tệp tin apex.cjs và audit.cjs để tải các tệp thực thi trực tiếp từ nền tảng GitHub. Tiếp theo, chúng tạo ra các tập lệnh PowerShell cùng VBScript nhằm duy trì tiến trình lây nhiễm và cuối cùng cài đặt một phần mềm chuyên đánh cắp thông tin cá nhân.

Đối với hệ điều hành macOS, nhóm tấn công sử dụng một công cụ trợ giúp viết bằng ngôn ngữ Rust để tiếp nhận lệnh từ máy chủ điều khiển trung tâm (C2). Từ đây, chúng tải xuống phần mềm CloudSyncD đóng vai trò là một backdoor, có khả năng thu thập toàn bộ thông tin hệ thống và thực thi các lệnh từ xa với quyền quản trị cao nhất. Thêm vào đó, công cụ hỗ trợ lập trình 'Apex Copilot' cũng bị can thiệp để chuyển hướng mọi yêu cầu AI về máy chủ do kẻ tấn công kiểm soát, qua đó đánh cắp mã nguồn và dữ liệu hội thoại của người dùng.

Khuyến nghị phòng ngừa

Trước nguy cơ mất an toàn thông tin, các tổ chức và cá nhân làm công nghệ cần nhanh chóng rà soát hệ thống, cẩn trọng khi tích hợp các thư viện bên thứ ba từ kho lưu trữ công khai và tham khảo các tài liệu hướng dẫn phòng thủ chuyên sâu từ khung MITRE ATT&CK đối với các dạng thức tấn công chuỗi cung ứng phần mềm.