Финансово мотивиран киберпрестъпник е свързан с разработването и разпространението на JavaScript (JS)-базиран софтуер за кражба на информация (инфостийлър), известен като PhantomRaven, чрез регистъра за пакети npm.

„Разработчикът най-вероятно е написал зловредния код с помощта на голям езиков модел (LLM) — оценка, направена с висока степен на увереност въз основа на подробни коментари, шаблонен код (placeholder code) и статистически модели за анализ на токени“, заявиха от екипа Counter Adversary Operations на CrowdStrike в анализ, публикуван тази седмица.

PhantomRaven беше открит за първи път от Koi Security и DCODX в края на октомври 2025 г., привличайки вниманието към кампания за тайпоскуатинг и slopsquatting, при която над 100 зловредни пакета бяха качени в npm за кражба на токени за автентификация, тайни от CI/CD среди и идентификационни данни за GitHub от машините на разработчиците.

Атаката срещу веригата за доставки на софтуер използва тези пакети като прикритие за извличане на отдалечена динамична зависимост (RDD) от външен сървър, така че самите библиотеки да не бъдат засечени от инструментите за сигурност.

След като бъде инсталиран, инжектираният код в отдалечената зависимост сканира средата на разработчика за имейл адреси, събира информация за CI/CD средата, взема системен отпечатък, включително публичния IP адрес, и изпраща резултатите към сървър, контролиран от атакуващия.

Той също така е оборудван да събира подробности за средата по време на изпълнение (runtime), текущата дата и час, потребителско име и имейл адреси от конфигурациите на Git/npm, както и променливи на средата за CI/CD за GitHub Actions, GitLab CI, Jenkins и CircleCI.

Последните констатации на CrowdStrike показват, че злонамереният субект е активен от ноември 2022 г. и твърди, че е ловец на бонуси за уязвимости (bug bounty hunter), който е събрал награди от не по-малко от девет организации в секторите на технологиите, търговията на дребно и ресторантьорството/хотелиерството.

Компанията за киберсигурност заяви, отбелязвайки че не е наблюдавала открадната от зловредния софтуер информация да се появява в магазини за откраднати данни (stealer log shops), което показва, че „операторът най-вероятно използва инфостийлъра единствено за идентифициране на възможности за програми за възнаграждение за открити уязвимости“.

Наблюдавани са поне два различни npm потребителски профила, поддържани от оператора, които качват npm пакети, съдържащи PhantomRaven. И двата npm профила вече не са достъпни към момента на писане.

  • jpdhellonpm1 - transform-jsbi-to-bigint
  • jpd15 - sort-imports-es6-autofix

Някои от другите онлайн самоличности, свързани със същата операция, включват jpd12, jpd13, npmhell, npmpackagejpd, npmtestdharsh, jpdhackerone11 и packagedharsh.

„През август 2025 г. авторът на заплахата твърди, че е открил уязвимост за отдалечено изпълнение на код (RCE) чрез публикуван от него зловреден npm пакет“, отбелязва изследователят по сигурността Мади Стюърт. „Злонамереният субект обясни, че е компрометирал целевата машина и е изпълнил своя preinstall скрипт, което предполагаемо му е позволило да постигне RCE.“

Освен това са се появили доказателства, че киберпрестъпникът се е опитал да качи пакети в репозитория Python Package Index (PyPI), съдържащи код за инфостийлър, който показва сходства с PhantomRaven.

Вероятната употреба на голям езиков модел (LLM) за генериране на зловреден код за пореден път подчертава как атакуващите все повече внедряват тази технология в своите операции, съкращавайки времето и усилията, необходими за провеждането на подобни кампании.

„Повечето престъпни субекти [...] наемат готови инструменти или използват собствен зловреден софтуер; въпреки това, този автор на заплахи най-вероятно е разработил своя собствен PhantomRaven, за да компрометира фирмени активи и след това е използвал тези пробиви като лост за получаване на награди от авторитетни програми за разкриване на уязвимости“, допълват от CrowdStrike.