Sapphire Sleet: Så används npm-paket och Ethereum för att dölja skadeprogram

npm är JavaScript-ekosystemets centrala pakethanterare. Många utvecklingsprojekt laddar automatiskt ned hundratals sådana paket, vilket gör att ett manipulerat bibliotek snabbt kan få stor spridning.

Angreppen följde denna tidslinje :

• typo-crypto, mars 2025: Det mindre intrånget kan ha fungerat som ett test inför den större kampanjen, enligt Amazons bedömning .
• debug och chalk, september 2025: De två mycket spridda biblioteken komprometterades efter att en utvecklare lurats via en falsk npm-domän. Minst 18 skadliga versioner publicerades, där en kod för att tömma kryptoplånböcker ingick . Amazon uppskattar att attacken nådde omkring 10 procent av molnmiljöerna inom två timmar .
• axios, mars 2026: Två förgiftade versioner, 1.14.1 och 0.30.4, fick en skadlig beroendekomponent som installerade en trojan med fjärråtkomst. Axios hade vid tidpunkten över 70 miljoner veckovisa nedladdningar enligt Microsofts uppgifter .

Angriparna kombinerade social manipulation med stulna utvecklarkonton och kod som delvis skapats med AI för att undvika upptäckt . I stället för att ändra bibliotekens vanliga funktioner direkt placerade de skadlig kod i uppdateringar. När paketen installerades kunde koden försöka stjäla inloggningsuppgifter, autentiseringstoken och kryptotillgångar .

Microsoft Threat Intelligence kopplade dessutom en separat attack mot Mastra AI:s npm-ekosystem till Sapphire Sleet med hög säkerhet. Den 17 juni 2026 publicerades 141 komprometterade paket under en period på 45 minuter .

NullReceiver: kommandoservern finns i mottagaradressen

I en rapport den 2 augusti 2026 beskrev OpenSource Malware en ny blockkedjebaserad metod i två andra trojaniserade npm-paket: bianira-ui@1.27.0 och fluid-type-ui@2.0.8 . Paketen utger sig för att vara legitima plugin-program för Tailwind CSS och har kopplats till kampanjen Contagious Interview .

Så fungerar NullReceiver :

1. Skadeprogrammet innehåller en fast Ethereum-plånboksadress: 0xa322e5f3d311d3080e6f0121063e9adc2490ef1a .
2. När programmet körs söker det efter plånbokens senaste utgående transaktion på Ethereum-blockkedjan.
3. Det letar efter den senaste överföringen med noll värde och noll datainnehåll.
4. Mottagaradressen i transaktionen avkodas till IP-adressen för nästa kommandoserver.

Det innebär att ingen misstänkt domän eller statisk IP-adress behöver ligga synlig i koden. Själva transaktionen ser dessutom ut som en vanlig överföring mellan kryptoplånböcker.

Metoden påminner om EtherHiding, där angripare gömmer information i blockkedjans transaktionsdata eller smarta kontrakt. NullReceiver flyttar i stället den dolda informationen till mottagaradressen i en tom transaktion, vilket enligt forskarna är en medveten utveckling av tekniken .

Säkerhetsföretag pekar åt samma håll

Flera stora aktörer inom cybersäkerhet har kopplat delar av aktiviteten till samma hotgrupp:

• Amazon Threat Intelligence använde gemensamma kommandoservrar, kod, installationskrokar och andra tekniker som grund för sin bedömning med medelhög säkerhet .
• Microsoft Threat Intelligence kopplade Mastra AI-angreppet till Sapphire Sleet med hög säkerhet och har även beskrivit macOS-kampanjer där gruppen använt Teams-liknande lockbeten . Microsoft har också tillskrivit axios-intrånget gruppen .
• Google Threat Intelligence har kopplat axios-angreppet till samma aktör, som Google spårar under namnet UNC1069 .
• Amerikanska och allierade cybersäkerhetsmyndigheter har återkommande varnat för nordkoreanskstödda stölder av kryptovaluta genom angrepp på öppen programvara . TRM Labs uppskattade att Nordkorea stod för 76 procent av värdet i alla kryptohackningar under 2026, men siffran gäller inte enbart npm-angreppen .

I det tillgängliga källmaterialet finns inget uttryckligt offentligt uttalande från den nordkoreanska regeringen som specifikt förnekar anklagelserna om Sapphire Sleet eller NullReceiver. Något sådant direkt förnekande har alltså inte kunnat beläggas här.

Vad utvecklare bör göra

NullReceiver visar varför traditionell statisk kodanalys och blockering av domäner inte alltid räcker. Skadeprogrammet behöver varken innehålla en misstänkt domän eller en fast IP-adress för att hitta sin infrastruktur.

Säkerhetsrekommendationer från flera källor är bland annat :

• Ha en aktuell mjukvaruförteckning, ofta kallad SBOM, och bevaka oväntade förändringar i beroenden.
• Inför en karantänperiod på 24–72 timmar innan nya paketversioner får installeras i produktion.
• Stäng av livscykelskript, exempelvis installationsskript, där det är möjligt.
• Lås installationer till bestämda versioner i stället för att automatiskt hämta de senaste paketen.
• Om ett beroende misstänks vara komprometterat: behandla hela utvecklingsmiljön som utsatt. Isolera berörda system, byt hemligheter och autentiseringsuppgifter och leta efter fortsatt aktivitet.

Den centrala lärdomen är att ett pålitligt paket inte bara är kod. Det är också en leveranskedja, ett konto och en uppsättning automatiska installationssteg – och alla tre kan utnyttjas.