TL; DR
โดยประมาณ สองเดือนมัลแวร์ขโมยข้อมูล npm ตัวหนึ่งได้กลับมาปรากฏตัวอีกครั้งภายใต้ชื่อแพ็กเกจที่หมุนเวียนเปลี่ยนไปเรื่อยๆ โดยส่งเพย์โหลดที่แทบไม่เปลี่ยนแปลง เริ่มต้นอย่างเปิดเผยในฐานะ... forge-jsxyถูกสร้างขึ้น forge-jsx3 / forge-jsx4 จากนั้นพี่น้องทั้งสองก็เลิกใช้แบรนด์ "forge" โดยสิ้นเชิง เพื่อนำเสนอตัวเองในฐานะโครงสร้างพื้นฐานสำหรับนักพัฒนา — เป็นครั้งแรก zredis-typedและล่าสุด pinokio-redis.
ทุกรุ่นมี ชุดเครื่องมือภายในเดียวกันไฟล์ชื่อ : forge-jsx-explorer-*, relayPackageServe โมดูลที่ทำหน้าที่ forge-jsxy-package.tgzและมีรันไทม์ที่ทนทานซึ่งซ่อนอยู่ภายใต้ไดเร็กทอรีที่มีจุดคั่น เพื่อให้ยังคงใช้งานได้แม้จะลบแพ็กเกจ npm แล้วก็ตาม
ข้อมูลที่ส่งไปอ่านได้ดังนี้ วัสดุสำหรับกระเป๋าเงินคริปโตเคอร์เรนซี และข้อมูลประจำตัวของนักพัฒนาจากโฮสต์ แล้วส่งต่อไปยัง Discord เวอร์ชันเว็บhooksHuggingFace Hub อัปโหลดข้อมูล และมี C2 endpoint ที่กำหนดไว้ล่วงหน้า มันติดตั้งการเริ่มต้นอัตโนมัติระดับระบบปฏิบัติการเพื่อให้ทำงานอีกครั้งหลังจากรีบูต และมันดักจับกิจกรรมในคลิปบอร์ด แป้นพิมพ์ และหน้าจอ เวอร์ชันล่าสุด... pinokio-redisโดยอธิบายตัวเองว่าเป็นการผสานรวมกับ "Autodesk Forge" ซึ่งเป็นคำอธิบายที่ไม่เกี่ยวข้องกับสิ่งที่โค้ดทำ
| ระบบนิเวศ (Ecosystem) | NPM |
| คลาสเพย์โหลด | เครื่องมือขโมยข้อมูลหลายขั้นตอน + ตัวแทนควบคุมระยะไกล (RAT) |
| เป้าหมายหลัก | กระเป๋าเงินคริปโต, ส่วนขยายกระเป๋าเงินในเบราว์เซอร์, ข้อมูลประจำตัวนักพัฒนา/ระบบคลาวด์ |
| การติดตา | รันไทม์แบบทนทานที่ซ่อนอยู่ + การเริ่มต้นอัตโนมัติของระบบปฏิบัติการ (ยังคงทำงานได้แม้ลบแพ็กเกจแล้ว) |
| การกรอง | ดิสคอร์ดเว็บhooks + รีเลย์, HuggingFace Hub, C2 ที่กำหนดค่าตายตัวบนพอร์ต 9877 |
| ช่วงเวลาที่สังเกตได้ | พฤษภาคม 2026 – กรกฎาคม 2026 (ต่อเนื่อง) |
| ชื่อล่าสุด | pinokio-redis:1.0.127 |
กายวิภาคการโจมตี
ทุกรุ่นในตระกูลนี้ติดตั้งโดยใช้รูปแบบเดียวกัน คือ แพ็คเกจ ดูเหมือนจะไม่มีการทำงานใดๆ ในหน้าแสดงรายการ แต่กลับประกาศว่ามี hook สำหรับการติดตั้งภายหลัง ดังนั้น โค้ดส่วนนี้จะทำงานทันทีที่ติดตั้งแพ็กเกจเป็นส่วนประกอบที่จำเป็น ตะขอจะขับเคลื่อนโซ่ห้าขั้น
- ขั้นตอนที่ 1 — ทำให้เป็นรูปธรรม สคริปต์การติดตั้งจะถอดรหัสไฟล์ที่เข้ารหัสไว้ซึ่งถูกรวมไว้ แปลงข้อมูลขนาดใหญ่ (blob) ให้เป็นชุดสคริปต์รันไทม์ และเขียนลงในไดเร็กทอรีที่ซ่อนอยู่ภายใต้ตำแหน่งการกำหนดค่าแพลตฟอร์ม (เวอร์ชัน forge-jsxy ใช้ .forge-jsxy/runtime/v ที่มีจุดคั่น) (เส้นทาง / path) เนื่องจากสำเนานี้อยู่นอกโฟลเดอร์ node_modules การลบหรือยกเลิกการเผยแพร่แพ็กเกจ npm จึงไม่ลบเอเจนต์ที่กำลังทำงานอยู่
- ขั้นตอนที่ 2 — จงยืนหยัดต่อไป ระบบจะลงทะเบียนรายการเริ่มต้นอัตโนมัติของระบบปฏิบัติการ เพื่อให้เอเจนต์เริ่มต้นทำงานอีกครั้งเมื่อรีบูตเครื่อง บน Windows กระบวนการนี้จะทำงานผ่านสคริปต์การวินิจฉัย PowerShell ที่ซ่อนอยู่ กระบวนการของเอเจนต์จะถูกสร้างขึ้นแบบแยกต่างหากและตั้งค่า windowsHide ไว้ เพื่อไม่ให้หน้าต่างคอนโซลปรากฏขึ้น
- ด่านที่ 3 — หลบหลีก รันไทม์จะตรวจสอบตัวบ่งชี้การรวมระบบอย่างต่อเนื่อง (Continuous Integration หรือ CI) และจะหยุดทำงานอย่างเงียบ ๆ เมื่อตรวจพบสภาพแวดล้อม CI ดังนั้นแซนด์บ็อกซ์การสร้างอัตโนมัติจึงไม่เห็นอะไรเลย ในเวอร์ชัน forge-jsxy ความคิดเห็นในซอร์สโค้ดระบุว่าฟิลด์ forgeInstall ที่มองเห็นได้ถูกละเว้นจากไฟล์ package.json โดยเจตนา “เนื่องจากฟิลด์นั้นจะปรากฏให้เห็นบน npm” — ผู้ดำเนินการจงใจเก็บข้อมูลเมตาของทริกเกอร์ไว้นอกรายการสาธารณะ
- ขั้นตอนที่ 4 — รวบรวม เมื่อเริ่มทำงานแล้ว ตัวแทนจะทำการเก็บเกี่ยวในรอบเดียว:
- วัสดุสำหรับกระเป๋าเงินคริปโต ไฟล์เป้าหมาย secret_filename_patterns.json ที่รวมไว้จะขับเคลื่อนการสแกนระบบไฟล์เพื่อค้นหา wallet.dat และ *.mnemonic /ไฟล์ .seed / *.phrase, keypair.json, Ethereum UTC– ไฟล์ keystore และไฟล์ keystore ขนาด *.p12 / *.pfx / *.jks รวมอยู่ในชุดแล้ว ไลบรารีสำหรับการสร้างกระเป๋าเงินดิจิทัล (bip39, secp256k1, base58check และตัวช่วย Solana) ก็มีอยู่ในชุดด้วย
- ส่วนขยายกระเป๋าเงินดิจิทัลสำหรับเบราว์เซอร์ โมดูล chromiumExtensionDbHarvest จะอ่านฐานข้อมูลพื้นที่จัดเก็บส่วนขยายในเครื่องของเบราว์เซอร์ Chromium ซึ่งเป็นตำแหน่งที่ส่วนขยายกระเป๋าเงินดิจิทัลบนเบราว์เซอร์เก็บข้อมูลกระเป๋าเงินของตนไว้
- ข้อมูลประจำตัวและความลับ เอเจนต์จะสแกนประวัติการใช้งานเชลล์และไฟล์ที่มีข้อมูลลับ จากนั้นอ่านข้อมูลประจำตัวของนักพัฒนา/ระบบคลาวด์ และเข้ารหัสข้อมูลประจำตัวของ HuggingFace เพื่ออัปโหลด
- ป้อนข้อมูลแบบเรียลไทม์ เนื้อหาในคลิปบอร์ด ข้อมูลที่ป้อนจากแป้นพิมพ์ และภาพหน้าจอจะถูกบันทึกอย่างต่อเนื่อง
ขั้นตอนที่ 5 — การถอนตัวออกข้อมูลที่รวบรวมได้จะออกจากโฮสต์ผ่านสามช่องทาง ช่องทางการทำงานแบบคู่ขนาน: Discord เวอร์ชันเว็บhooks (discordWebhookPost) และ ตัวอัปโหลดรีเลย์ Discord ที่สื่อสารกับ `discord.com/api/v10` (discordRelayUpload), การอัปโหลดของ HuggingFace Hub (hfUpload) และอื่นๆ ปลายทาง C2 ที่กำหนดไว้ตายตัวถูกเข้าถึงผ่านพอร์ต 9877 relayPackageServe นอกจากนี้ โมดูลยังส่งไฟล์ forge-jsxy-package.tgz ออกมาอีกด้วย — เหมือนกัน ชื่อไฟล์ต้นฉบับจะคงอยู่ทุกครั้งที่มีการเปลี่ยนชื่อ
จุดสำคัญเชิงโครงสร้างคือ ขั้นตอนที่ 1-3 ดำเนินการในระหว่างการติดตั้ง ไม่มีการโต้ตอบจากผู้ใช้ และขั้นตอนที่ 1 จะวางเพย์โหลดไว้ที่ใดที่หนึ่งในแพ็กเกจ ผู้จัดการไม่ได้ติดตาม นักพัฒนาที่สังเกตเห็นความสัมพันธ์ที่ผิดปกติและ การรันคำสั่ง `npm uninstall` จะลบรายการ แต่ไม่ลบเอเจนต์
นอกจากนี้ ข้อมูลยังยากต่อการอ่านอย่างรวดเร็ว สคริปต์รันไทม์ไม่ได้ถูกส่งมาด้วย อย่างชัดเจน: ขั้นตอนการเข้ารหัสและการปรับใช้จะคงตรรกะการทำงานไว้เช่นเดิม ข้อมูลเข้ารหัสที่จะขยายเป็นสคริปต์ที่อ่านได้ก็ต่อเมื่อกระบวนการติดตั้งเสร็จสิ้นแล้วเท่านั้น ถอดรหัสลงในไดเร็กทอรีรันไทม์ที่ซ่อนอยู่ ไฟล์ที่มองเห็นได้ ในรายการนั้นประกอบด้วยแผ่นรองหลังการติดตั้งที่บางและวัสดุที่กระจายตัว ตัวช่วย — เปิดเผยข้อมูลเพียงเล็กน้อยเกี่ยวกับสิ่งที่จะทำงานในท้ายที่สุด การส่งมอบที่เข้ารหัสนี้ การออกแบบมีผลกระทบที่วัดได้ต่อการคัดกรองผู้ป่วยฉุกเฉินตลอดช่วงชีวิตของครอบครัว สายพันธุ์ที่ได้รับการยืนยันหลายสายพันธุ์ได้รับการประเมินว่าปลอดภัยโดยระบบจำแนกอัตโนมัติ และข้อมูลที่ส่งไปนั้นไม่ชัดเจนมากพอที่จะทำให้การตรวจสอบอัตโนมัติหยุดชะงักลงโดยสิ้นเชิง พฤติกรรมที่บ่งบอกว่าครอบครัวนั้นเป็นใคร จะปรากฏให้เห็นก็ต่อเมื่อข้อมูลถูกเข้ารหัสไว้แล้วเท่านั้น ขั้นตอนการทำงานถูกขยายออก และเวลาในการทำงานถูกอ่านโดยตรง
ปฏิบัติการ
น้ำหนักบรรทุกของครอบครัวยังคงทรงตัวอย่างน่าทึ่ง สิ่งที่เปลี่ยนแปลงไปคือ... ชื่อบนกล่อง เส้นโค้งทอดยาวจากตราสินค้า "โรงตีเหล็ก" ที่เปิดโล่งไปยัง ปลอมตัวเป็นเครื่องมือสำหรับนักพัฒนาซอฟต์แวร์ที่ไม่เกี่ยวข้อง
มีสองสิ่งที่โดดเด่นตลอดช่วงเวลาดังกล่าว ประการแรก หมายเลขเวอร์ชัน 1.0.127 ถูกนำมาใช้ซ้ำอย่างไม่มีเงื่อนไขโดยทั้ง zredis-typed และ pinokio-redis — ชื่อเปลี่ยนไป แต่ลำดับการสร้างไม่ได้เริ่มต้นใหม่ ประการที่สอง การเปลี่ยนจากชื่อที่มี “forge-*” ออกไปนั้น สอดคล้องกับการเปลี่ยนไปใช้ชื่อที่อ่านง่ายเหมือนโครงสร้างพื้นฐานทั่วไป (redis, pinokio) ซึ่งช่วยลดโอกาสที่นักพัฒนาจะอ่านชื่อผ่านๆ แล้วลังเล
ตัวบ่งชี้การประนีประนอม
IOC ด้านล่างถูกทำให้ไร้ประสิทธิภาพแล้ว โฮสต์ C2 หมุนเวียนระหว่างบรรทัด forge-jsxy และรุ่นล่าสุดโดยยังคงใช้พอร์ตเดิม
สัญญาณตรวจจับที่ทนทานที่สุดไม่ได้มาจากโฮสต์หรือเว็บฮุคใดๆ เพียงอย่างเดียว แต่มาจากสิ่งเหล่านั้น หมุน — แต่ชื่อไฟล์ toolchain และ forge-jsxy-package.tgz สิ่งประดิษฐ์ที่ยังคงอยู่เหมือนเดิมทุกประการแม้จะมีการเปลี่ยนชื่อก็ตาม
การระบุสาเหตุและพฤติกรรมที่สังเกตได้
แพ็กเกจเหล่านี้ถูกเผยแพร่ภายใต้บัญชี npm มากกว่าหนึ่งบัญชี forge-jsxy บรรทัดดังกล่าวใช้ผู้เผยแพร่ jacksonkaandorp2 (jacksonkaandorp2@outlook[.]com); พินอกิโอ-เรดิส เวอร์ชันล่าสุดได้รับการเผยแพร่โดยโดนิมิก (donimiqueakers@gmail[.]com) ทั้งสองบัญชีไม่มีอีเมลที่ได้รับการยืนยันหรือ แหล่งเก็บข้อมูลแหล่งที่มาที่เชื่อมโยงกัน สิ่งที่เป็นจุดเชื่อมโยงระหว่างบัญชีต่างๆ คือ ชุดเครื่องมือ ไม่ใช่ตัวตนของผู้เผยแพร่ — ชื่อโมดูลเหมือนกัน เหมือนกัน ไฟล์ดังกล่าวเป็นไฟล์ .tgz และรูปแบบการส่งข้อมูลกลับแบบเดียวกันจะเกิดขึ้นซ้ำๆ ไม่ว่าใครจะเป็นผู้เผยแพร่ก็ตาม
พฤติกรรมที่สังเกตได้หลายอย่างบ่งชี้ว่าเป็นการปกปิดโดยเจตนามากกว่า การเก็บรวบรวมข้อมูลเกินขนาดโดยไม่ได้ตั้งใจ:
ตัวรันไทม์ถูกวางไว้นอกโฟลเดอร์ node_modules ในไดเร็กทอรีที่ซ่อนอยู่ ดังนั้นมันจึงมีอายุการใช้งานยาวนานกว่าแพ็กเกจที่ติดตั้งมันขึ้นมา
เอเจนต์จะหยุดทำงานเมื่อตรวจพบสภาพแวดล้อม CI ซึ่งจะช่วยจำกัดความเสี่ยงในสภาพแวดล้อมจำลองสำหรับการวิเคราะห์อัตโนมัติ
กระบวนการของเอเจนต์ถูกเริ่มต้นแบบแยกส่วนและ หน้าต่างซ่อนอยู่ ในเวอร์ชัน forge-jsxy ความคิดเห็นหนึ่งระบุว่า การละเว้นช่องติดตั้งที่มองเห็นได้นั้นเชื่อมโยงกับการที่ช่องดังกล่าว "มองเห็นได้บน npm"
คำอธิบายแพ็กเกจสาธารณะไม่เกี่ยวข้องกับโค้ด — pinokio-redis นำเสนอตัวเองในฐานะการผสานรวม "Autodesk Forge"
ช่องโหว่ในการตรวจจับที่เกิดขึ้นซ้ำๆ อย่างหนึ่งที่ควรค่าแก่การสังเกตสำหรับผู้ป้องกันที่พึ่งพาระบบนี้ การจำแนกประเภทอัตโนมัติ: พบตัวแปรที่ได้รับการยืนยันหลายตัวในกลุ่มนี้ ได้รับการประเมินว่าปลอดภัยโดยตัวจำแนกประเภท ML ก่อนที่การตรวจสอบโค้ดจะแก้ไขข้อผิดพลาด สรุป องค์ประกอบที่ผู้รีวิวสามารถใช้เป็นจุดอ้างอิงได้คือ เวลาในการติดตั้ง โซ่, รันไทม์ที่ซ่อนอยู่, ชื่อไฟล์ของชุดเครื่องมือ — ล้วนเป็นสิ่งที่ตรงกัน ที่ยังคงอยู่รอดมาได้แม้จะมีการเปลี่ยนชื่อแล้ว
เราอธิบายสิ่งที่กล่าวมาข้างต้นว่าเป็นพฤติกรรมที่สังเกตได้ เราไม่ได้ระบุสาเหตุที่แท้จริง แคมเปญดังกล่าวไม่ได้กล่าวถึงนักแสดงคนใด และเราไม่ได้กล่าวอ้างใดๆ เกี่ยวกับผู้ดำเนินการ อัตลักษณ์หรือวัตถุประสงค์ที่นอกเหนือไปจากสิ่งที่รหัสและโครงสร้างพื้นฐานแสดงให้เห็น
ผลกระทบ แนวโน้ม และคำแนะนำสำหรับผู้ปกป้อง
ใครบ้างที่ได้รับผลกระทบ ชุดสะสมนี้มุ่งเป้าไปที่นักพัฒนาโดยตรง เครื่องมือ: กระเป๋าเงินดิจิทัลและที่เก็บคีย์, ส่วนขยายกระเป๋าเงินในเบราว์เซอร์ ประวัติการใช้งานเชลล์ และข้อมูลประจำตัวของระบบคลาวด์/บริการ ใครก็ตามที่ติดตั้ง แพ็คเกจที่ได้รับผลกระทบ — โดยตรงหรือโดยอ้อม การพึ่งพาแบบถ่ายทอด — ในระหว่าง หน้าต่างที่ใช้งานอยู่นั้นอยู่ในขอบเขต และการออกแบบการคงอยู่หมายความว่า การสัมผัสเชื้อไม่ได้สิ้นสุดลงเมื่อแกะบรรจุภัณฑ์ออกแล้ว
เหตุใดความพยายามอย่างต่อเนื่องจึงสำคัญ เนื่องจากขั้นตอนที่ 1 คัดลอกข้อมูลลงใน ไดเร็กทอรีรันไทม์ที่ซ่อนอยู่และการลงทะเบียนขั้นตอนที่ 2 จะเริ่มอัตโนมัติตามปกติ สัญชาตญาณในการแก้ไขปัญหา (ถอนการติดตั้งส่วนประกอบที่มีปัญหา ลบโฟลเดอร์ node_modules) การติดตั้งใหม่ (reinstall) ไม่ได้ขับไล่เอเจนต์ออกไป ฝ่ายรับมือเหตุการณ์ต้องค้นหา... รันไทม์นอกโครงสร้างและรายการเริ่มต้นอัตโนมัติ ไม่ใช่แค่แพ็กเกจเท่านั้น
แนวโน้ม. ครอบครัวนี้เป็นตัวอย่างที่แสดงให้เห็นถึงรูปแบบที่น่าจับตามอง: ข้อมูลที่เสถียรและสมบูรณ์ ห่อหุ้มด้วยวัสดุที่ใช้แล้วทิ้งชื่อแพ็กเกจที่เปลี่ยนไปจากชื่อที่เคยใช้ในการลบแพ็กเกจก่อนหน้านี้ จดจำได้ง่าย เมื่อเทียบกับชื่อที่อ่านแล้วเหมือนโครงสร้างพื้นฐานทั่วไป อิงตามชื่อ บัญชีดำและชื่อเสียงของผู้เผยแพร่จะหมดอายุอย่างรวดเร็วเมื่อเผชิญกับพฤติกรรมนี้ และสัญญาณที่เกิดจากสิ่งประดิษฐ์นั้นไม่เป็นเช่นนั้น
สำหรับนักพัฒนาและผู้บริโภค
ถือว่าสคริปต์ในระหว่างการติดตั้งเป็นแหล่งความเสี่ยงหลัก ติดตั้งโดยปิดใช้งานสคริปต์หากทำได้ และตรวจสอบการพึ่งพาใดๆ ที่ประกาศไว้ หลังการติดตั้ง ตรวจสอบและคัดกรองความสัมพันธ์แบบส่งต่ออย่างแม่นยำ มัลแวร์ประเภทนี้สามารถเข้ามาได้ง่ายทั้งผ่านทางความสัมพันธ์ย่อยและความสัมพันธ์โดยตรง
บนเครื่องโฮสต์ที่ต้องสงสัย ให้ค้นหาให้ไกลกว่าแค่แพ็กเกจ: มองหาไดเร็กทอรีรันไทม์ที่ซ่อนอยู่ภายในตำแหน่งการกำหนดค่าแพลตฟอร์ม หรือรายการเริ่มต้นอัตโนมัติที่ไม่คาดคิด และการเชื่อมต่อขาออกไปยังเว็บฮุคของ Discord หรือเอนด์พอยต์ :9877
สันนิษฐานว่าวลีเริ่มต้นของกระเป๋าเงินดิจิทัล คีย์สโตร์ หรือข้อมูลประจำตัวใดๆ ที่มีอยู่ในโฮสต์ที่ได้รับผลกระทบในช่วงเวลาที่ช่องโหว่ถูกบุกรุก และให้ทำการหมุนเวียนข้อมูลเหล่านั้น
สำหรับทะเบียนและผู้พิทักษ์
แจ้งเตือนเกี่ยวกับอาร์ติแฟกต์ที่คงทน (forge-jsxy-package.tgz, forge-jsx-explorer-* / chromiumExtensionDbHarvest / discordRelayUpload) (ชื่อไฟล์) แทนที่จะเป็นชื่อแพ็กเกจ ซึ่งจะเปลี่ยนแปลงไป
ระบุโครงสร้างที่ตระกูลนี้ใช้ — กระบวนการหลังการติดตั้งที่สร้างสคริปต์ลงในเส้นทางไดเร็กทอรีการกำหนดค่าที่ซ่อนอยู่ รวมถึงระบบปฏิบัติการด้วย การลงทะเบียนเริ่มต้นอัตโนมัติ — ไม่ขึ้นอยู่กับสตริงเฉพาะที่เกี่ยวข้อง
ชื่อบนกล่องบรรจุภัณฑ์มีการเปลี่ยนแปลงอย่างน้อยสี่ครั้ง กล่องด้านในก็เปลี่ยนไปเช่นกัน ไม่เป็นเช่นนั้น ระบบตรวจจับที่สร้างขึ้นจากสิ่งที่โค้ดทำนั้นอยู่รอดมาได้นานกว่าทุกสิ่ง ทำการติดฉลากใหม่เรียบร้อยแล้ว
