1. Hackers, die in verband worden gebracht met Noord-Korea en bekend staan onder namen als UNC1069, Sapphire Sleet en Stardust Chollima, hebben softwarebibliotheken gecompromitteerd.
2. Deze groep richtte zich op populaire, open-source codebibliotheken zoals axios, typo-crypto, debug en chalk, die wereldwijd door ontwikkelaars worden gebruikt. Axios wordt bijvoorbeeld wekelijks meer dan 100 miljoen keer gedownload.
3. In maart 2025 vond de typo-crypto campagne plaats. Hierbij werd kwaadaardige code geïntroduceerd, vermoedelijk als een test om methoden te verfijnen voor grotere aanvallen. Het kwaadaardige bestand "core.js" leek op een legitiem pakket genaamd core-js. Na activatie maakte dit bestand verbinding met een externe server om een tweede codefragment te downloaden. Deze tweede fase was aangepast voor verschillende besturingssystemen (Windows, macOS, Linux) en gebruikte technieken om analyse te vertragen. Het typo-crypto pakket had zelf weinig downloads vergeleken met de grotere bibliotheken.
4. In september 2025 compromitteerde dezelfde groep de pakketten debug en chalk. Ongeveer 1 op de 10 cloud computing-omgevingen werd binnen twee uur getroffen door deze incidenten. Tot deze datum waren de incidenten met typo-crypto, debug en chalk nog niet publiekelijk aan dezelfde dader gekoppeld.
5. De aanvallers pakken twee kernproblemen aan: het verkrijgen van kwaadaardige code in een pakket dat uiteindelijk in een organisatie wordt uitgevoerd, en het verborgen houden van deze code voor ontwikkelaars en beveiligingstools.
6. In alle vier de gevallen verkregen de aanvallers toegang door een relatie op te bouwen met een beheerder van een pakket, om zo een gecompromitteerde update te kunnen publiceren.
7. Generatieve AI vergemakkelijkt deze aanpak doordat aanvallers nu makkelijker authentiek ogende code, documentatie en bijdragegeschiedenissen kunnen creëren. Soms registreren aanvallers zelfs pakketnamen die door AI-codeertools worden gegenereerd, waardoor ontwikkelaars malafide software kunnen installeren zonder spelfouten te maken.
8. Deze bevindingen komen twee jaar na een vergelijkbaar incident met het xz-utils programma, waarbij een aanvaller het vertrouwen van beheerders won om een backdoor te plaatsen.
9. Een andere groep, TeamPCP, heeft dit jaar meer dan 1.000 softwarepakketten gecompromitteerd en kwaadaardige code geïnjecteerd.