Amazon свърза компрометирането на npm пакетите debug и chalk през септември 2025 г. със Северна Корея. В продължение на десет месеца инцидентът фигурираше в публичните регистри като кражба на криптовалута: поддръжник на пакетите е бил подлъган чрез фишинг с дублиращ npm домейн, а скрипт за източване на портфейли е бил внедрен в поне 18 пакета, които общо имат над 2 милиарда изтегляния седмично.

Първоначалните доклади на Aikido и Wiz не приписваха инцидента на Северна Корея. В проучване, публикувано на 29 юли, отделът за разузнаване на заплахи на Amazon (Amazon Threat Intelligence) оценява със средна степен на увереност, че групата зад компрометирането на пакета axios през март 2026 г. стои и зад този инцидент.

Според Amazon същата група е заложила троянски файл в малкия пакет typo-crypto през март 2025 г. – цяла година преди атаката срещу axios. Анализаторите са го открили, докато са проследявали домейн, регистриран през 2025 г., който се е появил по време на разследването на axios.

Броят на изтеглянията е бил нисък, но методологията на атаката „съвпада с това, което наблюдавахме по-късно при атаките срещу по-популярни пакети“, пишат от Amazon, като компанията разглежда пакета като тестов пуск. Приписването на авторството от страна на Amazon обхваща четири конкретни пакета в рамките на три кампании за дванадесет месеца. И трите, според тях, са започнали по един и същ начин: социално инженерство срещу доверен поддръжник, последвано от публикуване на обновяване.

Amazon не съобщава за нови компрометирани пакети. Обхватът на реакцията за debug и chalk – браузърни пакети и кешове – все още съответства на публикувания механизъм. Промени се единствено приписването на авторството.

Публикуваните от Amazon доказателства обаче са по-оскъдни от твърденията им. Техният материал цитира споделени похвати в различните кампании, троянизирани пакети, куки след инсталация (post-install hooks) и повторно използване на код, както и припокриващи се индикатори за командване и контрол (C2), но не посочва кои доказателства свързват конкретните инциденти.

Тази празнота е най-съществена за debug и chalk, където Aikido и Wiz документираха браузърен прехващач, който се закача за fetch, XMLHttpRequest и API-та за портфейли, за да пренапише адресите на транзакциите, преди потребителят да ги подпише. Той не е оставял трайно присъствие на машината. За разлика от злонамерения код в axios, този код не е разчитал на npm кука след инсталация. Нито пък typo-crypto, който вместо това е чакал определен тригер.

Google независимо приписа компрометирането на axios на групата UNC1069, цитирайки задната вратичка WAVESHAPER.V2 и възел на AstrillVPN, използван от групата и преди. Microsoft приписа същото компрометиране на Sapphire Sleet, за която твърди, че се припокрива с дейността на субекти, проследявани от други доставчици като UNC1069, STARDUST CHOLLIMA, BlueNoroff, Alluring Pisces, CageyChameleon и CryptoCore.

Разминаването в имената е разрешено, но липсата на достатъчно доказателства от Amazon остава. Сред разгледаните източници Amazon остава единственият източник, който приписва компрометирането на debug, chalk и typo-crypto на тези автори. Приписванията за axios се появиха в рамките на два дни след инцидента, докато другите две бяха свързани съответно десет и шестнадесет месеца след събитията.

Amazon тълкува модела като финансово мотивиран. От Socket споделиха за The Hacker News по това време, че септемврийските портфейли са донесли около 600 долара печалба.

Зловредният файл, описан от Amazon – core.js, се е представял в хранилището за легитимния пакет core-js. Той се е задействал при въвеждане на хеш, започващ с 0098273, и е изтеглял специфичен за операционната система втори етап от твърдо кодиран C2 сървър, обфускиран с base64 върху XOR шифър с ключ 01042025. Мрежовите индикатори са npmjs[.]store и 216[.]74[.]123[.]126.

Публикацията на Amazon цитира запис в базата данни OSV, без да назовава версията. От The Hacker News провериха записа: MAL-2026-3400 идентифицира typo-crypto@4.3.0, посочва като откривател Amazon Inspector и е публикуван на 8 май – почти три месеца преди официалното приписване на авторството.

The Hacker News провери регистъра на 30 юли 2026 г. typo-crypto@4.3.0 все още е публикуван и достъпен за инсталиране. Той не декларира инсталационен скрипт, така че самото му изтегляне не изпълнява нищо автоматично. Архивът (tarball), предоставян от npm, съвпада с оригиналните хешове за интегритет на регистъра.

В регистъра е вписана само една версия, създадена и публикувана в рамките на 204 милисекунди на 31 март 2025 г. Акаунтът, от който е публикувана, не съвпада с разработчика, посочен в полето за автор на пакета. Описанието и ключовите думи са копирани от crypto-js, при това за версия, която е с едно издание по-нова от тогавашната последна версия на самия crypto-js (4.2.0). Проектът crypto-js е напълно различен от core-js, за който се е представял файлът.

Този запис не съответства на хипотезата за компрометиран поддръжник и последвало злонамерено обновяване, както Amazon описва и трите кампании. По-скоро изглежда като пакет, създаден с цел да имитира crypto-js още от първото си публикуване. Регистърът не показва как е бил придобит акаунтът, а само че е нямало по-ранна версия, която да бъде обновена.

Файлът съвпада с описанието от публикацията в едно отношение: core.js съдържа както стойността за тригера, така и XOR ключа, посочени от Amazon. Хешовете обаче не съвпадат. Amazon посочва SHA256 на core.js като хеш на целия пакет, но декларираният от тях хеш на core.js не присъства в нито един файл в архива. Това може да се дължи на грешно етикетиран индикатор или на хеш от друго копие на файла, но публикацията на Amazon не дава яснота по въпроса.

The Hacker News се свърза с Amazon за повече подробности относно доказателствата, свързващи компрометирането от септември 2025 г., както и с Aikido за тяхното мнение по новото приписване на авторството, и ще обнови статията при получен отговор.

npm пусна версия 12 през юли