Sapphire Sleet-kampanjen: Slik gjemmes npm-skadevare i tilsynelatende tomme kryptotransaksjoner

Angrepene kom i denne rekkefølgen :

• typo-crypto – mars 2025: Amazon mener kompromitteringen kan ha vært en prøvekjøring for den større kampanjen .
• debug og chalk – september 2025: Begge er svært utbredte JavaScript-biblioteker. Bare debug har milliarder av ukentlige nedlastinger. Angriperne skal ha lurt pakkevedlikeholderen gjennom et falskt npm-domene og deretter publisert skadevare i minst 18 versjoner . Amazon anslår at rundt 10 prosent av skymiljøene ble berørt i løpet av to timer etter publiseringen .
• axios – mars 2026: Dette er et av de mest brukte HTTP-klientbibliotekene i JavaScript-økosystemet, med over 70 millioner ukentlige nedlastinger på tidspunktet for angrepet . De kompromitterte versjonene 1.14.1 og 0.30.4 introduserte en ondsinnet avhengighet som lastet ned en fjernstyringstrojaner .

Metoden kombinerte sosial manipulering, stjålne innloggingsopplysninger og kode generert med hjelp av kunstig intelligens for å gjøre skadevaren vanskeligere å oppdage . I stedet for å endre pakkens vanlige funksjon direkte, ble trojaniserte oppdateringer brukt til å kjøre skadevare under installasjonen. Resultatet kunne være blant annet tømming av kryptolommebøker og tyveri av passord, API-nøkler og andre tilgangstegn .

Microsoft Threat Intelligence har også uavhengig knyttet Sapphire Sleet til Mastra AI-angrepet 17. juni 2026. I løpet av et tidsrom på 45 minutter ble over 140 npm-pakker publisert med en ondsinnet avhengighet .

NullReceiver: Når en tom transaksjon peker til skadevaren

I en analyse publisert 2.–4. august 2026 dokumenterte OpenSource Malware teknikken NullReceiver. Den ble funnet i to andre trojaniserte npm-pakker: bianira-ui@1.27.0 og fluid-type-ui@2.0.8 . Pakkene etterligner legitime Tailwind CSS-tillegg og er koblet til kampanjen «Contagious Interview» .

C2 står for command and control – infrastrukturen angriperen bruker til å sende kommandoer til skadevaren. NullReceiver fungerer slik :

1. Skadevaren inneholder en fast Ethereum-adresse: 0xa322e5f3d311d3080e6f0121063e9adc2490ef1a .
2. Når skadevaren kjører, undersøker den blokkjeden etter den nyeste utgående transaksjonen fra denne lommeboken.
3. Den leser mottakeradressen i den nyeste overføringen med null verdi og null datainnhold.
4. Byteverdiene i mottakeradressen dekodes til IP-adressen til neste kommandoserver.

For en overvåkingsløsning kan dette se ut som en vanlig kryptotransaksjon. Det finnes ikke noe mistenkelig tekstfelt, ikke noe skjult domene og ingen fast IP-adresse som ligger åpent i skadevarens kode. Ifølge OpenSource Malware er NullReceiver en videreutvikling av teknikken EtherHiding: Hemmeligheten flyttes fra transaksjonens datafelt til selve mottakeradressen .

Det betyr ikke at blokkjeden er usporbar. Ethereum-transaksjoner er offentlige, og en bestemt lommebok kan fortsatt være et viktig etterforskningsspor. Men teknikken gjør den statiske analysen vanskeligere fordi skadevaren kan hente en ny serveradresse i sanntid uten å måtte oppdateres.

Sikkerhetsmiljøene peker i samme retning

Flere store sikkerhetsaktører har kommet til en lignende konklusjon:

• Amazon Threat Intelligence mener med middels sikkerhet at de fire npm-kompromitteringene stammer fra Sapphire Sleet. Vurderingen bygger blant annet på felles C2-indikatorer, gjenbruk av kode, installasjonshendelser og sammenfallende fremgangsmåter .
• Microsoft Threat Intelligence har med høy sikkerhet knyttet Mastra AI-angrepet til Sapphire Sleet . Microsoft har også beskrevet macOS-kampanjer fra samme gruppe, blant annet med Teams-inspirerte lokkemidler .
• Google Threat Intelligence har knyttet axios-angrepet til samme aktør, som Google omtaler som UNC1069 .
• Amerikanske myndigheter og allierte cybersikkerhetsorganer har gjentatte ganger advart mot nordkoreansk, statsstøttet kryptotyveri gjennom angrep på programvareforsyningskjeden . TRM Labs anslo at Nord-Korea sto for 76 prosent av verdien i alle kryptohack i 2026, men tallet gjelder ikke bare npm-angrepene .

Det er ikke funnet noen offentlig uttalelse der nordkoreanske myndigheter spesifikt avviser anklagene om Sapphire Sleet-kampanjen eller NullReceiver. Nord-Korea pleier å avvise anklager om statsstøttede cyberangrep gjennom diplomatiske kanaler, men en direkte avvisning av akkurat disse kampanjene finnes ikke i kildematerialet.

Hva bør utviklere og sikkerhetsteam gjøre?

NullReceiver viser hvorfor tradisjonell blokkering av domener og IP-adresser ikke er nok. Skadevaren trenger ikke å inneholde en mistenkelig nettadresse i det hele tatt. Samtidig bygger angrepene på en velkjent svakhet: Utviklere og byggesystemer stoler ofte automatisk på oppdateringer fra populære pakker.

Anbefalingene fra flere sikkerhetsmiljøer inkluderer :

• Hold oversikt over avhengighetene gjennom en programvareliste, ofte kalt en SBOM (software bill of materials), og undersøk uventede endringer.
• Innfør en karantenetid på 24–72 timer før nye pakkeversjoner tas i bruk. Det kan gi sikkerhetsmiljøene tid til å oppdage og fjerne en forgiftet versjon.
• Deaktiver livssyklusskript under installasjon der det er mulig, og bruk låste, deterministiske versjoner av avhengighetene.
• Behandle en kompromittert pakke som et bredere sikkerhetsproblem. Isoler berørte maskiner, bytt passord og nøkler, roter andre hemmeligheter og se etter videre aktivitet i utvikler- og byggemiljøene.

Den viktigste lærdommen er enkel: En pakke kan se legitim ut, komme fra en kjent vedlikeholder og fortsatt være en inngangsport. Når selve kommandokanalen i tillegg kan gjemmes i en tom kryptotransaksjon, må sikkerhetsarbeidet omfatte både kode, avhengigheter, kontoer og nettverkstrafikk.