Un fals „accelerator” Web3 distribuie pachete npm malițioase care fură date și deturnează traficul agenților AI

O campanie care se dă drept accelerator de investiții Web3 îi convinge pe fondatorii și dezvoltatorii din zona crypto să instaleze pachete npm malițioase. Pachetele sunt prezentate ca unelte AI și audituri de securitate gratuite, dar instalează programe de furt de date (infostealere) și backdoor-uri pe Windows și macOS. În plus, redirecționează pe ascuns traficul agenților AI de programare prin infrastructura atacatorilor.

Ce s-a întâmplat

Operațiunea, urmărită sub numele REF8801, se prezintă drept „Apex Accelerator”, susținut de o „Apex Foundation” care promite investiții, granturi și contacte cu fonduri VC. Cel puțin din primăvara lui 2026 folosește domenii proprii, contactează pe X dezvoltatori de portofele crypto și de unelte de trading cu oferte de finanțare și a apărut chiar la evenimente precum TOKEN2049 din Singapore, ca să pară credibilă.

Momeala este un pas de „due diligence”: victimei i se cere să ruleze un utilitar din npm. Ultimul val s-a bazat pe două pachete:

• @apexacc/cli, prezentat ca un consultant AI pentru fondatori Web3, bazat chipurile pe modele Claude și Gemini;
• @apexacc/audit, prezentat ca un server MCP cu 18 unelte pentru verificarea tokenurilor, portofelelor și smart contractelor.

Niciunul nu face ce promite. Uneltele de „audit” afișează rezultate inventate (de exemplu, un raport impecabil „SAFE, 91/100”), iar CLI-ul evaluează un proiect fictiv. Pachete mai vechi ale aceleiași operațiuni (@apexfdn/apex, @copilot-mcp/apex, @apexfdn/copilot-mcp) au fost descoperite în această vară livrând infostealerul Atomic (AMOS) pentru macOS. Pachetele npm și depozitele GitHub asociate au fost între timp eliminate.

Cum funcționează infectarea

După instalare, pachetul trimite serverului atacatorului sistemul de operare al gazdei și descarcă o componentă specifică platformei:

• Windows: un lanț PowerShell codificat descarcă un loader PyInstaller. Acesta își ridică privilegiile (încearcă o metodă cunoscută de ocolire a UAC dacă nu rulează deja ca administrator), face verificări anti-VM și predă controlul unui loader scris în Go. Loaderul Go dezactivează AMSI și ETW și elimină hook-urile din ntdll.dll, ca soluțiile de securitate să nu mai vadă ce se întâmplă. Infostealerul final, rulat în memorie, colectează parole, cookie-uri și istoricul din browsere (inclusiv prin ocolirea criptării app-bound din Chrome), portofele crypto, date din aplicații de mesagerie, VPN, FTP și acces la distanță, profiluri Wi-Fi, clipboard și capturi de ecran. Toate datele sunt trimise prin Telegram.
• macOS: un script shell descarcă o arhivă cu un dropper pentru backdoor-ul CloudSyncD. Acesta afișează o fereastră falsă care cere parola, o folosește pentru a-și rula componenta cu sudo, inventariază sistemul și cere comenzi noi de la un server de control. CloudSyncD fusese deja observat în septembrie, răspândit printr-un fals installer Zoom.

Componenta de AI

Aceasta este partea care diferențiază campania. Pe lângă infostealer și backdoor, pachetele pot redirecționa traficul LLM prin OpenRouter către un API controlat de atacator și pot înregistra un server MCP fals în configurația agentului victimei. Atacatorul vede astfel fiecare prompt, conversație, fragment de cod și rezultat al uneltelor trimis de agent. Serverul MCP fals poate și să adauge instrucțiuni și descrieri de unelte în contextul agentului, deci poate influența ce face agentul în continuare.

De ce contează

Dezvoltatorii din crypto și AI sunt ținte valoroase: dețin chei de portofel, chei API și acces la producție și instalează constant unelte noi. O ofertă de finanțare credibilă, combinată cu un atac pe lanțul de aprovizionare software, trece de prudența obișnuită. Deturnarea agenților AI aduce un risc nou: un atacator care controlează endpoint-ul de model sau uneltele MCP ale agentului poate citi cod proprietar și poate influența modificările făcute de agent.

Ce e de făcut

1. Tratați cererea „rulați acest utilitar pentru due diligence” ca pe un semnal de alarmă. Investitorii reali nu vă cer să le instalați pachetul npm. Rulați unelte necunoscute într-o mașină virtuală sau un container de unică folosință, niciodată pe un calculator care conține chei sau portofele.
2. Verificați configurația agenților AI. Revizuiți serverele MCP și setările de model sau base URL din agenții de programare (Cursor, Claude, Copilot și alții), precum și variabilele de mediu. Eliminați orice nu ați adăugat voi.
3. Controlați instalările npm. Fixați versiunile dependențelor și revizuiți-le, folosiți --ignore-scripts unde se poate și verificați pachetele noi sau cu reputație redusă înainte de instalare.
4. Căutați indicatori de compromitere. Urmăriți traficul către apexaccs[.]org, apexfdn[.]xyz, ehegisnightmare[.]icu și ccmihr[.]com, traficul neașteptat către API-ul Telegram de pe stațiile de lucru, precum și cererile neașteptate de parolă pe macOS sau un element com.apple.system.loader.
5. Dacă ați fost expuși, considerați sistemul complet compromis. Schimbați parolele salvate în browser, tokenurile de sesiune, cheile API și cheile LLM și mutați fondurile din orice portofel a cărui frază seed se afla pe acel calculator.

Pachete malițioase ca acestea sunt exact ce caută serviciul nostru de code review asistat de AI: verifică dependențele și configurația agenților/MCP pentru pachete suspecte și endpoint-uri neașteptate, înainte ca acestea să ajungă pe calculatorul unui dezvoltator.

Surse: cercetare originală Elastic Security Labs, cu descoperiri anterioare de la SafeDep, Socket și Jamf Threat Labs, conform The Hacker News.