Sapphire Sleet: Severokorejští hackeři ukrývají malware v npm balíčcích i prázdných transakcích Etherea

Amazon tuto atribuci hodnotí jako středně pravděpodobnou a skupinu popisuje jako finančně motivovanou . Vývoj událostí podle dostupných zjištění vypadal takto :

• typo-crypto, březen 2025: Menší kompromitace mohla sloužit jako testovací fáze před rozsáhlejšími útoky .
• debug a chalk, září 2025: Útočníci pomocí phishingu a napodobeniny domény npm získali přístup k účtu správce. Do nejméně 18 škodlivých verzí následně vložili skript schopný odčerpávat kryptoměny . Samotný balíček debug má podle dostupných údajů miliardy stažení týdně. Kompromitace mohla během dvou hodin zasáhnout přibližně 10 % cloudových prostředí .
• axios, březen 2026: V jedné z nejpoužívanějších JavaScriptových knihoven pro HTTP komunikaci se objevily dvě škodlivé verze, 1.14.1 a 0.30.4. Přidaly škodlivou závislost, která do systémů stahovala trojského koně umožňujícího vzdálený přístup .

Útočníci kombinovali sociální manipulaci — například navazování vztahů se správci projektů a krádeže přihlašovacích údajů — s kódem generovaným pomocí umělé inteligence, který měl ztížit odhalení . Místo přímé změny běžného chování knihovny distribuovali upravené aktualizace. Ty při instalaci mohly na počítač vývojáře nasadit malware pro odčerpání kryptoměn nebo krádež přístupových údajů .

Microsoft Threat Intelligence navíc s touto skupinou s vysokou mírou jistoty spojil samostatný útok na ekosystém Mastra AI z 17. června 2026. Během 45 minut bylo zveřejněno více než 140 škodlivých npm balíčků .

NullReceiver: když se C2 server skrývá v příjemci transakce

Ve výzkumu zveřejněném mezi 2. a 4. srpnem 2026 analytici z OpenSource Malware popsali techniku nazvanou NullReceiver. Našli ji ve dvou dalších trojanizovaných balíčcích npm: bianira-ui@1.27.0 a fluid-type-ui@2.0.8 . Balíčky se vydávají za legitimní pluginy pro Tailwind CSS a souvisejí s kampaní označovanou jako „Contagious Interview“ .

Zjednodušeně NullReceiver funguje následovně :

1. Malware obsahuje napevno ethereum adresu peněženky: 0xa322e5f3d311d3080e6f0121063e9adc2490ef1a .
2. Po spuštění se připojí k blockchainu Ethereum a vyhledá poslední odchozí transakci z této peněženky.
3. Zkontroluje cílovou adresu posledního převodu s nulovou hodnotou a bez dat.
4. Bajty této adresy dekóduje jako IP adresu dalšího řídicího serveru, tedy C2 infrastruktury.

C2 neboli command-and-control server je počítač, přes který útočník malwaru posílá příkazy nebo z něj distribuuje další škodlivé komponenty.

Trik spočívá v tom, že transakce vypadá jako běžná aktivita na blockchainu. Neobsahuje podezřelý datový payload, doménu ani statickou IP adresu přímo v kódu malwaru. Podle OpenSource Malware jde o záměrné vylepšení staršího přístupu EtherHiding: „tajná“ informace se přesunula z dat transakce do samotné adresy příjemce .

Co ukazují další bezpečnostní analýzy

Na stejné připisování postupně upozornilo více velkých bezpečnostních týmů:

• Amazon Threat Intelligence spojil čtyři kompromitace na základě společných indikátorů C2, opakovaně použitého kódu, instalačních skriptů a dalších shod v postupech útočníků. Jistotu označil jako střední .
• Microsoft Threat Intelligence s vysokou mírou jistoty připsal skupině Sapphire Sleet útok na Mastra AI i kompromitaci axios . Popsal také kampaně zaměřené na macOS, které využívaly návnady s motivem Microsoft Teams .
• Google Threat Intelligence připisuje útok na axios stejnému aktérovi, kterého sleduje pod označením UNC1069 .
• Americké a spojenecké úřady pro kybernetickou bezpečnost stále častěji varují před severokorejskými krádežemi kryptoměn prostřednictvím kompromitovaných open-source projektů . Podle společnosti TRM Labs připadalo v roce 2026 na Severní Koreu odhadem 76 % hodnoty všech kryptoměnových hacků. Tento údaj však nepochází pouze z útoků na npm .

V dostupných podkladech se neobjevilo konkrétní veřejné prohlášení severokorejské vlády, které by přímo popíralo obvinění týkající se Sapphire Sleet nebo NullReceiver. Nelze proto tvrdit, že Severní Korea tyto konkrétní kampaně veřejně dementovala. Obecnější popírání obvinění z kybernetických útoků prostřednictvím diplomatických kanálů zde není doloženo jako reakce právě na tyto případy.

Proč je to důležité pro vývojáře

Případy ukazují, že útok na dodavatelský řetězec softwaru nemusí začít zranitelností v samotném nástroji. Stačí kompromitovat účet důvěryhodného správce a vydat aktualizaci, kterou si vývojářské týmy stáhnou v rámci běžné instalace.

U NullReceiveru navíc nemusí pomoci tradiční blokování podezřelých domén nebo statických IP adres. Malware si adresu serveru zjišťuje až za běhu z veřejného blockchainu. Bezpečnostní doporučení z více zdrojů proto zahrnují :

• udržovat software bill of materials (SBOM), tedy přehled všech použitých komponent a závislostí;
• sledovat nečekané změny v balíčcích a jejich chování během instalace i po ní;
• zavést karanténní období a neinstalovat automaticky verze vydané v posledních 24 až 72 hodinách;
• pokud je to možné, deaktivovat instalační a životní cyklus skriptů a instalovat závislosti deterministicky z uzamčených verzí;
• považovat podezřelou kompromitaci závislosti za riziko pro celý vývojový a cloudový prostor — izolovat zasažené systémy, změnit přístupové údaje a sledovat následnou aktivitu.

Největší slabinou takových útoků není jen samotný škodlivý kód. Je jí důvěra, kterou vývojáři vkládají do známého balíčku, jeho správce a automatického procesu aktualizací.