Новые атаки в рамках кампании PhantomRaven, нацеленной на цепочку поставок, обрушились на npm, распространяя десятки вредоносных пакетов, которые похищают конфиденциальные данные у разработчиков JavaScript.
Кампания была впервые обнаружена еще в октябре 2025 исследователями Koi, заметившими, что она действовала с августа и привела к публикации 126 вредоносных пакетов на платформе npm.
В свою очередь, Endor Labs обнаружила три дополнительных волны атак PhantomRaven в период с ноября 2025 года по февраль 2026 года, в ходе которых было распространено 88 пакетов с помощью 50 временных учетных записей.
В большинстве случаев злоумышленники использовали тактику «слопсквоттинга», мимикрируя под такие известные проекты, как Babel и GraphQL Codegen. Причем использовавшиеся имена при публикации вредоносных пакетов генерировались посредством LLM.
По данным Endor Labs, 81 вредоносный пакет PhantomRaven по-прежнему доступен в реестре npm.
PhantomRaven задействует метод обхода обнаружения, называемый удаленными динамическими зависимостями (RDD), при котором в метаданных package.json указывается зависимость по внешнему URL-адресу.
Таким образом, злоумышленнику не нужно внедрять вредоносный код в пакет, обходя автоматическую проверку.
Когда ничего не подозревающий разработчик запускает команду npm install, зависимость, содержащая вредоносное ПО, автоматически загружается с сервера злоумышленника и выполняется.
Согласно https://www.endorlabs.com/learn/return-of-phantomraven Endor Labs, вредоносная ПО собирает различную конфиденциальную информацию со скомпрометированного компьютера, включая электронные письма из файлов gitconfig, npmrc и переменные окружения.
В качестве целевых объектов также выступают токены CI/CD с платформ GitHub, GitLab, Jenkins и CircleCI.
Исследователи утверждают, что вредоносная ПО также собирает системную информацию, такую как IP-адрес, имя хоста, ОС и версия Node, для идентификации машины.
На заключительном этапе вредоносный пакет передает украденные данные на C2-сервер злоумышленника. Обычно это делается с помощью HTTP GET-запроса, но для большей надежности также используются HTTP POST и WebSocket.
Endor Labs также заметила, что инфраструктура остается стабильной на протяжении всех четырех наблюдаемых волн PhantomRaven: домены, содержащие слово artifact, размещены на платформе Amazon Elastic Compute Cloud (EC2) и не имеют TLS-сертификата.
Полезная нагрузка также была практически идентична во всех волнах, при этом 257 из 259 строк кода остались неизменными.
Однако злоумышленники усовершенствовали свои методы работы, меняя учетные записи npm и электронную почту, изменяя метаданные пакетов и модифицируя конечные точки PHP. Кроме того, они стали публиковать изменения чаще, добавив четыре пакета за один день, 18 февраля.
Несмотря на отсутствие сложных методов, PhantomRaven продолжается и использует все ту же технику, инфраструктурные схемы и структуру полезной нагрузки, оставаясь в рабочем состоянии при минимальных изменениях в доменах, конечных точкках, учетных записях npm и именах зависимостей.
