Sapphire Sleet kaapt 145 Mastra-pakketten: zo werkte de npm-aanval

De getroffen pakketten waren samen goed voor meer dan 1,1 miljoen downloads per week . Microsoft schreef de operatie op 19 juni met hoge zekerheid toe aan Sapphire Sleet, een Noord-Koreaanse statelijke actor die vooral de financiële en cryptosector viseert . De groep wordt ook gevolgd onder de namen BlueNoroff en APT38.

Zo verliep de aanval

De campagne maakte gebruik van een bekend zwak punt in softwareketens: één gestolen publiceeraccount kan worden gebruikt om updates naar een groot aantal vertrouwde pakketten te sturen.

1. Een maintainer-account wordt overgenomen

De aanvallers gebruikten social engineering om de inloggegevens van een legitieme Mastra-bijdrager te bemachtigen. Het gecompromitteerde npm-account, ehindero, beschikte over publiceermachtigingen voor de volledige @mastra-scope .

2. Pakketten worden geautomatiseerd opnieuw gepubliceerd

Met dat account brachten de aanvallers nieuwe versies uit van alle pakketten binnen @mastra/*. De volledige operatie nam ongeveer 88 minuten in beslag; sommige onderzoeken plaatsen de grootste publicatiepiek zelfs binnen 19 minuten . Dat tempo wijst op het gebruik van een geautomatiseerd publicatiescript.

3. Een nepafhankelijkheid verbergt de malware

De besmette versies bevatten een afhankelijkheid met de naam easy-day-js. Die naam lijkt op dayjs, een legitieme en veelgebruikte JavaScript-bibliotheek voor datumfuncties . Onderzoekers gebruiken daarom de naam “easy-day-js” voor deze campagne .

4. De code start al bij npm install

De kwaadaardige code werd uitgevoerd via npm’s postinstall-script. Daardoor kon het schadelijke programma al starten zodra een ontwikkelaar een getroffen pakket installeerde. Het was niet nodig om de applicatie zelf te starten of een AI-agent uit te voeren .

5. Gegevens en vervolgmalware worden buitgemaakt

De payload zocht naar cryptowalletsleutels, cloudreferenties en geheimen voor CI/CD-systemen op ontwikkelaarscomputers en in buildomgevingen . Volgens Microsoft werd bovendien de TLS-verificatie uitgeschakeld en een tweede fase van de infostealer opgehaald vanaf infrastructuur die door de aanvallers werd beheerd .

Waarom Microsoft Sapphire Sleet aanwijst

Microsoft beoordeelde op 19 juni 2026 met hoge zekerheid dat Sapphire Sleet achter de aanval zat. Daarbij verwees het bedrijf naar de gebruikte infrastructuur en naar tactieken, technieken en procedures — vaak afgekort als TTP’s — die overeenkomen met eerder aan de groep toegeschreven activiteiten .

Amazon Threat Intelligence bracht Sapphire Sleet daarnaast in verband met eerdere aanvallen op npm-pakketten, waaronder axios, debug, chalk en typo-crypto .

Microsoft verkort de levensduur van NuGet-sleutels

De Mastra-aanval onderstreept waarom pakketregisters afscheid nemen van langdurige publiceersleutels. Microsoft voert daarom voor NuGet.org, het pakketregister voor .NET-ontwikkelaars, een tweedelige wijziging door:

• Vanaf 17 augustus 2026 mogen nieuw aangemaakte API-sleutels maximaal 30 dagen geldig zijn. De eerdere optie van 365 dagen verdwijnt .
• Alle sleutels die vóór 17 augustus 2026 zijn aangemaakt, verlopen op 1 november 2026 .

Microsoft noemt langdurige API-sleutels “losse tekenreeksen die gemakkelijk kwijtraken” en ziet gestolen sleutels als een belangrijk risico voor softwareketens . Wie zo’n sleutel bemachtigt, kan gedurende langere tijd schadelijke versies publiceren onder de naam van een vertrouwd project.

De wijziging geldt voor NuGet en is dus niet rechtstreeks de maatregel waarmee npm de Mastra-aanval afhandelt. Ze past wel in dezelfde bredere beveiligingsverschuiving: publiceertoegang moet zo kort mogelijk geldig zijn en niet als permanent geheim in een repository of CI/CD-systeem staan.

Trusted Publishing wordt de voorkeursroute

Microsoft raadt maintainers aan om over te stappen op Trusted Publishing, een publicatieworkflow die in september 2025 voor NuGet werd geïntroduceerd . In plaats van een langdurige API-sleutel gebruikt de workflow OpenID Connect (OIDC) om per publicatie een tijdelijke identiteit te bevestigen.

In de praktijk vraagt een CI/CD-workflow, bijvoorbeeld via GitHub Actions, een cryptografisch ondertekend OIDC-token aan. NuGet.org controleert of dat token overeenkomt met het geregistreerde beleid voor de repository, workflow en eventueel de ingestelde omgeving. Daarna wordt een tijdelijke, eenmalige API-sleutel uitgegeven die doorgaans ongeveer één uur geldig is .

De voordelen zijn onder meer :

• geen langdurige geheimen in de repository of CI/CD-configuratie;
• tijdelijke inloggegevens die per publicatie worden uitgegeven en automatisch verlopen;
• controle van de identiteit van de repository en workflow;
• geen handmatige sleutelrotatie; en
• een veel kleinere impact wanneer een credential toch uitlekt.

Trusted Publishing is ook beschikbaar voor andere pakketregisters, waaronder npm en PyPI . Het systeem voorkomt niet iedere vorm van misbruik — een geautoriseerde workflow kan bijvoorbeeld nog steeds worden misbruikt — maar haalt wel het risico weg van één langdurige sleutel die uit een omgeving kan worden gestolen.

npm neemt aanvullende maatregelen

Naast de NuGet-wijzigingen zijn in het npm-ecosysteem al verschillende beveiligingsmaatregelen ingevoerd:

• Klassieke npm-tokens ingetrokken: npm trok in december 2025 alle klassieke, langdurige tokens definitief in. npm login geeft nu sessietokens uit die twee uur geldig zijn .
• Kortere looptijd voor granulaire tokens: nieuwe granulaire tokens met schrijfrechten hebben een standaardlooptijd van zeven dagen en een maximum van 90 dagen .
• Staged publishing: deze functie is sinds mei 2026 algemeen beschikbaar. Een maintainer moet met tweefactorauthenticatie (2FA) expliciet een release goedkeuren voordat die openbaar installeerbaar wordt .

Samen zijn deze maatregelen bedoeld om precies het aanvalspad moeilijker te maken dat bij Mastra werd gebruikt: één onvoldoende beschermd, langdurig accounttoken met publiceertoegang tot een volledige pakketnamespace.

Wat ontwikkelaars en maintainers nu kunnen doen

• Controleer NuGet-sleutels: sleutels die vóór 17 augustus 2026 zijn aangemaakt, verlopen op 1 november. Genereer tijdig nieuwe sleutels of migreer naar Trusted Publishing .
• Gebruik waar mogelijk OIDC: daarmee hoeven langdurige geheimen niet in CI/CD-pipelines te worden opgeslagen. NuGet, npm en PyPI ondersteunen deze aanpak .
• Werk npm-publicatieprocessen bij: controleer of pipelines gebruikmaken van sessietokens, kortlevende granulaire tokens of Trusted Publishing .
• Vergrendel afhankelijkheden: pin bekende, gecontroleerde pakketversies en vermijd automatische upgrades voor kritieke infrastructuur .
• Schakel installatiescripts uit wanneer dat kan: npm install --ignore-scripts — of de configuratieoptie ignore-scripts = true — voorkomt dat preinstall- en postinstall-scripts automatisch draaien .

De Mastra-zaak laat zien dat een aanval op de softwareketen niet begint bij een kwetsbaarheid in de uiteindelijke applicatie. Soms is één gestolen publiceeraccount voldoende om in minder dan anderhalf uur een groot deel van een ontwikkelaarsecosysteem te bereiken.