Sapphire Sleet napadl 145 balíčků Mastra AI: Jak proběhl útok na npm a co mění Microsoft

Útočníci během zhruba 88 minut kompromitovali 145 balíčků v prostoru @mastra/*. Některé analýzy popisují samotnou vlnu hromadného publikování jako ještě rychlejší — v řádu 19 minut — což odpovídá automatizovanému skriptu, nikoli ručnímu nahrávání . Balíčky dohromady zaznamenávaly více než 1,1 milionu stažení týdně .

Jak útok proběhl

1. Převzetí účtu správce

Útočníci nejprve pomocí sociálního inženýrství získali přístup k legitimnímu účtu správce Mastry na npm. Napadený účet s označením ehindero měl oprávnění publikovat balíčky v celém prostoru @mastra .

Jeden kompromitovaný účet tak útočníkům poskytl přístup k desítkám důvěryhodných balíčků najednou. Právě rozsah publikačních oprávnění je u podobných incidentů klíčový: nejde jen o napadení jednoho projektu, ale o možnost zasáhnout celou závislostní síť.

2. Hromadné zveřejnění škodlivých verzí

S převzatými přihlašovacími údaji útočníci znovu publikovali balíčky v prostoru @mastra/*. Rychlost operace naznačuje automatizaci, která umožnila upravit velké množství balíčků v krátkém časovém okně .

3. Nenápadná závislost „easy-day-js“

Do kompromitovaných verzí byla vložena škodlivá závislost nazvaná easy-day-js. Název měl napodobovat legitimní a široce používanou knihovnu dayjs — jde o takzvaný typosquatting, tedy zneužití názvu, který může na první pohled vypadat důvěryhodně .

4. Spuštění už při instalaci

Škodlivý kód nebylo nutné aktivovat spuštěním aplikace Mastra ani konkrétního AI agenta. Využíval skript npm postinstall, takže se mohl spustit automaticky už ve chvíli, kdy vývojář nebo sestavovací systém provedl npm install .

To je jeden z nejnebezpečnějších rysů útoku na dodavatelský řetězec: napadený software může působit jako běžná aktualizace, zatímco riziko se projeví ještě před spuštěním samotné aplikace.

5. Krádež přihlašovacích údajů a kryptoměn

Po spuštění payload vyhledával na pracovních stanicích vývojářů a v prostředích CI/CD klíče ke kryptoměnovým peněženkám, cloudové přihlašovací údaje a další tajné hodnoty . Podle dostupné analýzy také vypínal ověřování TLS a stahoval druhou fázi nástroje pro krádež dat z infrastruktury ovládané útočníky .

Microsoft připisuje útok skupině Sapphire Sleet

Microsoft 19. června 2026 uvedl, že s vysokou mírou jistoty připisuje operaci skupině Sapphire Sleet, severokorejskému státnímu aktérovi, který se zaměřuje především na finanční sektor a kryptoměny . Společnost poukázala na infrastrukturu a taktiky, techniky a postupy (TTP), které odpovídají dříve zdokumentované činnosti této skupiny.

Amazon Threat Intelligence zároveň spojil Sapphire Sleet s dřívějšími kampaněmi proti balíčkům npm, mimo jiné axios, debug, chalk a typo-crypto .

Microsoft zkracuje životnost klíčů NuGet API

Incident s Mastrou urychlil změny, které Microsoft připravoval pro ekosystém NuGet — registr balíčků používaný vývojáři aplikací pro platformu .NET.

Od 17. srpna 2026 bude maximální platnost nově vytvořených klíčů NuGet.org API činit 30 dní namísto dosavadních 365 dní. Klíče vytvořené před tímto datem Microsoft hromadně zneplatní 1. listopadu 2026 .

Důvod je praktický: dlouhodobě platný API klíč může po odcizení útočníkovi poskytnout dlouhé období, během kterého může vydávat podvržené verze důvěryhodných balíčků. Microsoft dlouhodobé klíče popsal jako citlivé řetězce, které se snadno ztratí nebo uniknou .

Trusted Publishing má nahradit dlouhodobá tajemství

Microsoft správcům balíčků doporučuje přejít na Trusted Publishing, tedy důvěryhodné publikování založené na standardu OpenID Connect (OIDC). Tento způsob byl pro NuGet spuštěn v září 2025 a nahrazuje dlouhodobě uložené API klíče krátkodobými přihlašovacími údaji .

Při použití Trusted Publishing workflow v CI/CD požádá například GitHub Actions o kryptograficky podepsaný token OIDC. NuGet.org ověří, zda token odpovídá registrovanému repozitáři, workflow a případně prostředí, a následně vydá dočasný klíč platný pouze pro danou publikační relaci .

Hlavní výhody:

• v repozitáři ani v systému CI/CD není nutné ukládat dlouhodobé tajné klíče;
• přihlašovací údaje jsou krátkodobé a obvykle platí přibližně jednu hodinu;
• identita workflow se ověřuje proti konkrétnímu repozitáři a publikační politice;
• odpadá ruční obměňování dlouhodobých tajemství;
• případný únik má výrazně menší dopad, protože omezené oprávnění i platnost rychle vyprší .

Trusted Publishing přitom není omezené pouze na NuGet. Podporují je také npm a PyPI, takže se postupně stává důležitou součástí zabezpečení vydávání open-source softwaru .

Změny zavádí i npm

Microsoftova reakce zapadá do širšího zpřísňování bezpečnosti v ekosystému balíčků:

• npm v prosinci 2025 trvale zneplatnil klasické dlouhodobé tokeny. Příkaz npm login nyní vytváří pouze dvouhodinové relační tokeny ;
• nové granularní tokeny npm s oprávněním k zápisu mají výchozí platnost sedm dní a maximální platnost 90 dní ;
• funkce staged publishing, která je obecně dostupná od května 2026, vyžaduje, aby správce před veřejným zpřístupněním vydání výslovně schválil balíček pomocí dvoufaktorového ověření .

Cíl je ve všech případech podobný: odstranit scénář, kdy jediný dlouhodobě platný token s rozsáhlými oprávněními umožní útočníkovi během několika minut otrávit celou sadu balíčků.

Co by měli udělat vývojáři a správci balíčků

• Zkontrolujte klíče NuGet API. Klíče vytvořené před 17. srpnem 2026 přestanou fungovat 1. listopadu. Do té doby je nahraďte novými klíči, nebo přejděte na Trusted Publishing .
• Přesuňte publikování na OIDC. Pokud to váš registr a CI/CD platforma podporují, odstraňte z pipeline dlouhodobá tajemství a používejte krátkodobou identitu workflow.
• Prověřte npm workflow. Aktualizujte pipeline tak, aby využívaly podporované krátkodobé tokeny, granularní oprávnění, dvoufaktorové ověření nebo staged publishing .
• Připínejte verze závislostí. U kritických projektů se vyhněte nekontrolovaným automatickým aktualizacím a používejte ověřené verze balíčků .
• Zvažte instalaci bez skriptů. Příkaz npm install --ignore-scripts nebo nastavení ignore-scripts = true může zabránit automatickému spuštění škodlivých preinstall a postinstall skriptů. Stejný princip lze nastavit také pro pnpm a Yarn .
• Po podezřelé instalaci rotujte tajné údaje. Pokud systém instaloval potenciálně napadenou verzi, je nutné prověřit pracovní stanici i CI/CD prostředí a podle potřeby změnit cloudové, publikační a další přístupové tokeny.

Případ Mastry ukazuje, že bezpečnost softwarového dodavatelského řetězce nestojí pouze na kontrole zdrojového kódu. Stejně důležitá je ochrana účtů, omezení publikačních oprávnění a odstranění dlouhodobých přihlašovacích údajů, které mohou útočníkům otevřít dveře k celému ekosystému.