🚨 PhantomRaven: มัลแวร์ npm สุดแสบที่ขโมยข้อมูลนักพัฒนาแบบแนบเนียน แคมเปญมัลแวร์ PhantomRaven แอบแฝงใน npm ด้วยแพ็กเกจปลอมกว่า 126 รายการ ใช้เทคนิคลับ Remote Dynamic Dependency เพื่อขโมยโทเคนและข้อมูลลับของนักพัฒนาโดยไม่ถูกตรวจจับ ตั้งแต่เดือนสิงหาคม 2025 แคมเปญมัลแวร์ชื่อ PhantomRaven ได้แอบปล่อยแพ็กเกจ npm ปลอมกว่า 126 รายการ ซึ่งถูกดาวน์โหลดไปแล้วกว่า 86,000 ครั้ง จุดประสงค์หลักคือขโมยข้อมูลลับของนักพัฒนา เช่น GitHub credentials, CI/CD tokens และ npm authentication tokens สิ่งที่ทำให้ PhantomRaven อันตรายคือการใช้ฟีเจอร์ Remote Dynamic Dependency (RDD) ซึ่งอนุญาตให้แพ็กเกจ npm ดึง dependencies จาก URL ภายนอก แทนที่จะใช้ registry ปกติ ทำให้เครื่องมือสแกนความปลอดภัยมองว่าแพ็กเกจเหล่านี้ “ไม่มี dependencies” และปลอดภัย ทั้งที่จริงแล้วโค้ดอันตรายจะถูกดึงมาและรันทันทีเมื่อผู้ใช้ติดตั้ง แพ็กเกจปลอมเหล่านี้มักมีชื่อคล้ายของจริง เช่น eslint-comments (จริงคือ eslint-plugin-eslint-comments) หรือ unused-imports (จริงคือ eslint-plugin-unused-imports) ซึ่งถูกออกแบบมาให้ AI แนะนำโดยผิดพลาดเมื่อผู้ใช้ถามหาแพ็กเกจในแชตบอตหรือ Copilot เมื่อโค้ดรัน มัลแวร์จะเริ่มเก็บข้อมูลจากไฟล์ .gitconfig, .npmrc, package.json รวมถึงสแกนหาโทเคนจาก GitHub Actions, GitLab, Jenkins และ CircleCI จากนั้นจะส่งข้อมูลออกผ่าน HTTP GET, POST และ WebSocket เพื่อให้แน่ใจว่าข้อมูลจะหลุดออกไปแม้ในเครือข่ายที่มีไฟร์วอลล์ ✅ PhantomRaven คือแคมเปญมัลแวร์ใน npm ➡️ ปล่อยแพ็กเกจปลอมกว่า 126 รายการ ➡️ ถูกดาวน์โหลดไปแล้วกว่า 86,000 ครั้ง ➡️ เริ่มต้นในเดือนสิงหาคม 2025 และยังมีแพ็กเกจที่ยังไม่ถูกลบ ✅ เทคนิค Remote Dynamic Dependency (RDD) ➡️ ดึงโค้ดจาก URL ภายนอกแทน registry ➡️ ทำให้เครื่องมือสแกนมองว่าไม่มี dependencies ➡️ โค้ดอันตรายจะรันทันทีเมื่อติดตั้งผ่าน preinstall script ✅ ข้อมูลที่มัลแวร์พยายามขโมย ➡️ อีเมลและข้อมูลจากไฟล์ config ➡️ โทเคนจาก GitHub, GitLab, Jenkins, CircleCI ➡️ ข้อมูลระบบ เช่น IP, hostname, OS, username ✅ ช่องทางการส่งข้อมูลออก ➡️ HTTP GET (ฝังข้อมูลใน URL) ➡️ HTTP POST (ส่ง JSON payload) ➡️ WebSocket (ใช้ในเครือข่ายที่มีข้อจำกัด) ‼️ ความเสี่ยงจากแพ็กเกจปลอม ⛔ ชื่อคล้ายของจริง ทำให้ AI แนะนำผิด ⛔ ผู้ใช้ติดตั้งโดยไม่รู้ว่าเป็นมัลแวร์ ⛔ โค้ดดูเหมือน harmless เช่น console.log('Hello, world!') แต่แฝง payload จริงไว้ภายนอก ‼️ ความเสี่ยงต่อระบบ CI/CD และข้อมูลลับ ⛔ โทเคนและ credentials ถูกขโมยโดยไม่รู้ตัว ⛔ ส่งผลกระทบต่อระบบอัตโนมัติและการ deploy ⛔ อาจถูกใช้เพื่อเจาะระบบองค์กรหรือ cloud infrastructure 🧠 เกร็ดน่ารู้เพิ่มเติม 🎗️ Remote Dynamic Dependency เป็นฟีเจอร์ที่แทบไม่มีใครใช้ เพราะเสี่ยงต่อความปลอดภัยสูง 🎗️ Slopsquatting คือเทคนิคใหม่ที่ใช้ AI สร้างชื่อแพ็กเกจปลอมที่ “ดูเหมือนจริง” เพื่อหลอกให้ผู้ใช้ติดตั้ง 🎗️ นักพัฒนาควรใช้เครื่องมือเช่น npm audit, Snyk, หรือ Socket.dev เพื่อตรวจสอบความปลอดภัยของแพ็กเกจ https://securityonline.info/phantomraven-126-malicious-npm-packages-steal-developer-tokens-and-secrets-using-hidden-dependencies/