Chiến dịch Web3 giả mạo phát tán mã độc qua gói npm để chiếm quyền truy cập luồng AI agent
Một chương trình tăng tốc Web3 giả mạo đã sử dụng các gói npm độc hại để phát tán phần mềm đánh cắp thông tin và backdoor lên máy tính Windows và macOS. Chiến dịch này dụ người dùng bằng lời mời nhận credit Anthropic Claude và Google Gemini miễn phí, công cụ lập trình và dịch vụ kiểm tra bảo mật, đồng thời nhắm vào lưu lượng do các AI agent xử lý. Các gói này được giới thiệu như tài nguyên dành cho lập trình viên nhưng thực chất có thể xâm nhập máy tính và đánh cắp dữ liệu nhạy cảm. Vụ việc cho thấy lập trình viên cài dependency npm không chính thức hoặc chạy theo các ưu đãi AI miễn phí có nguy cơ làm lộ thông tin đăng nhập, mã nguồn và quy trình làm việc với AI.
Lập trình viên và doanh nghiệp nên thận trọng với các gói npm hoặc ưu đãi AI miễn phí không rõ nguồn gốc, đặc biệt khi chúng yêu cầu cài công cụ trên Windows hoặc macOS. Hãy kiểm tra kỹ nhà phát hành và chỉ dùng các gói phụ thuộc đáng tin cậy để tránh lộ mã nguồn, thông tin đăng nhập và luồng làm việc với AI.
Đọc bài gốc