Hoe Sapphire Sleet npm-pakketten vergiftigt en malware verbergt op de blockchain

De incidenten vonden volgens Amazon plaats in deze volgorde :

• typo-crypto (maart 2025): Waarschijnlijk een proef voor de grotere campagne. Amazon denkt dat de aanvallers hier hun werkwijze verfijnden voordat ze grotere doelwitten aanvielen .
• debug en chalk (september 2025): Twee zeer populaire npm-bibliotheken. Alleen debug wordt miljarden keren per week gedownload. De aanvallers misleidden de beheerder via een nagemaakt npm-domein en plaatsten vervolgens een script dat cryptowallets kon leegtrekken in ten minste achttien kwaadaardige pakketversies . Naar schatting werd binnen twee uur na publicatie ongeveer 10 procent van de cloudomgevingen geraakt .
• axios (maart 2026): Een van de populairste HTTP-clientbibliotheken binnen het JavaScript-ecosysteem, met op dat moment meer dan 70 miljoen wekelijkse downloads . Twee besmette releases, versie 1.14.1 en 0.30.4, bevatten een kwaadaardige afhankelijkheid die een remote-access-trojan installeerde .

De aanvallers combineerden social engineering — onder meer het opbouwen van een vertrouwensband met beheerders en het stelen van inloggegevens — met door AI gegenereerde code die detectie moest ontwijken . In plaats van de werking van een pakket rechtstreeks aan te passen, voegden ze besmette updates toe. Die konden tijdens de installatie wallet-drainers en programma's voor het stelen van inloggegevens op de computer van een ontwikkelaar plaatsen .

Microsoft Threat Intelligence schreef ook de aanval op de npm-pakketten van Mastra AI op 17 juni 2026 aan Sapphire Sleet toe. Daarbij werden in een tijdsbestek van 45 minuten meer dan 140 pakketten geraakt. Microsoft beoordeelde die toeschrijving met hoge zekerheid .

NullReceiver: een commandoserver in een lege Ethereum-transactie

In onderzoek dat tussen 2 en 4 augustus 2026 werd gepubliceerd, beschreven analisten van OpenSource Malware een nieuwe blockchaintechniek voor command-and-control (C2), genaamd NullReceiver. De techniek werd aangetroffen in twee andere, aan Noord-Korea gelinkte npm-pakketten: bianira-ui@1.27.0 en fluid-type-ui@2.0.8 . Beide doen zich voor als legitieme Tailwind CSS-plug-ins en worden in verband gebracht met de lopende campagne “Contagious Interview” .

De werkwijze ziet er als volgt uit :

1. De malware bevat één vast Ethereum-walletadres: 0xa322e5f3d311d3080e6f0121063e9adc2490ef1a .
2. Tijdens het uitvoeren vraagt de malware de meest recente uitgaande transactie van dat wallet op.
3. Vervolgens leest ze het bestemmingsadres van de recentste Ethereum-overdracht met nul waarde en nul gegevens.
4. De bytes van dat bestemmingsadres worden gedecodeerd tot het IP-adres van de volgende C2-server.

Voor beveiligingssoftware ziet dit eruit als een normale blockchaintransactie: iemand heeft een overdracht naar een ander wallet uitgevoerd. Er is geen opvallende gegevenslading, geen verborgen domeinnaam en geen vast IP-adres in de malwarecode zelf. Volgens OpenSource Malware is NullReceiver een bewuste doorontwikkeling van EtherHiding. Daarbij zat het verborgen geheim nog in de transactiegegevens; NullReceiver verplaatst het naar het ontvangstadres, waardoor eerdere detectiemethoden minder effectief worden .

Onderzoekers zien dezelfde Noord-Koreaanse infrastructuur terug

Verschillende grote beveiligingsbedrijven komen in grote lijnen tot dezelfde conclusie:

• Amazon Threat Intelligence koppelde de vier pakketbesmettingen met middelmatige zekerheid aan Sapphire Sleet. Het baseerde zich onder meer op gedeelde C2-indicatoren, hergebruik van code, post-install-scripts en overeenkomende tactieken .
• Microsoft Threat Intelligence stelde met hoge zekerheid vast dat Sapphire Sleet achter de Mastra AI-aanval zat . Microsoft bracht de groep ook in verband met de axios-besmetting en beschreef macOS-campagnes waarin lokmiddelen rond Microsoft Teams werden gebruikt .
• Google Threat Intelligence schreef de axios-aanval eveneens aan dezelfde actor toe en volgt de groep onder de naam UNC1069 .
• Amerikaanse en geallieerde cybersecuritydiensten waarschuwen steeds nadrukkelijker voor Noord-Koreaanse cryptodiefstal via aanvallen op opensourcesoftware en softwaretoeleveringsketens . Volgens TRM Labs was Noord-Korea in 2026 goed voor naar schatting 76 procent van de waarde van alle cryptodiefstal door hacks. Dat cijfer komt echter niet uitsluitend voort uit deze npm-aanvallen .

In de beschikbare bronnen is geen specifieke openbare verklaring gevonden waarin de Noord-Koreaanse regering de beschuldigingen rond Sapphire Sleet of NullReceiver rechtstreeks ontkent. Noord-Korea ontkent beschuldigingen van staatsgestuurde cyberaanvallen doorgaans via diplomatieke kanalen, maar een directe ontkenning van deze specifieke campagnes kwam in het onderzochte materiaal niet naar voren.

Wat ontwikkelaars en securityteams hiervan moeten leren

Deze incidenten laten zien dat aanvallers niet alleen vertrouwen misbruiken, maar ook AI-gegenereerde code en blockchaininfrastructuur inzetten. Traditionele statische analyse en het blokkeren van domeinen zijn bij NullReceiver mogelijk onvoldoende: tijdens het uitvoeren verschijnt er geen verdacht domein of vast IP-adres in de code.

Aanbevelingen uit verschillende analyses zijn onder meer :

• Houd een software bill of materials (SBOM) bij en controleer afhankelijkheden op onverwachte wijzigingen.
• Gebruik waar mogelijk een wachttijd van 24 tot 72 uur: installeer geen pakketversies die pas net zijn gepubliceerd. Zo krijgen snelle besmettingen minder kans om direct in builds terecht te komen.
• Schakel lifecycle-scripts uit waar dat kan en installeer afhankelijkheden deterministisch, met vastgelegde versies.
• Beschouw een vermoedelijk besmette afhankelijkheid als een breder risico voor inloggegevens en de ontwikkelomgeving. Roteer geheimen, isoleer getroffen systemen en let op vervolgactiviteit.