חוקרי Elastic Security Labs תיארו קמפיין בשם REF8801: מיזם מזויף בשם Apex Accelerator פנה ליזמי קריפטו ו-Web3 והציע קרדיט AI חינמי, כלי פיתוח וביקורות אבטחה. מאחורי ההצעות עמדו חבילות npm שגונבות מידע וגם משנות את הגדרות סוכן הקידוד של הקורבן.
הפרטים
החבילות הוצגו כיועץ AI למייסדי Web3 וכסורק אבטחה. לפי הדיווח, אחרי ההתקנה על Windows רץ סטילר שמנסה לעקוף הגנות ושולח מידע דרך טלגרם; הוא מכוון לדפדפנים, ארנקים, תוכנות מסרים ולקוחות VPN ו-FTP. ב-macOS הותקן backdoor בשם CloudSyncD שמבקש סיסמה באמצעות חלון מזויף.
החלק המעניין הוא היעד החדש: החבילות מפנות תעבורת OpenRouter לשירותי התוקף ורושמות בהגדרות הסוכן שרת MCP שלו. כך חשופים פרומפטים, היסטוריית שיחה, קוד ופלט כלים, והתוקף יכול גם להזריק הוראות שמכוונות את הסוכן. חמש חבילות יוחסו לקמפיין, ושתיים מהן, שדווחו ע"י Elastic, כבר אינן זמינות. זהות המפעילים לא ברורה.
נקודות לשים לב
- בדוק אם הותקנו אצלך חבילות מהמרחבים
@apexacc,@apexfdnאו@copilot-mcp; התקנה כזו פירושה שיש להתייחס לסיסמאות, טוקנים וארנקים במכשיר כחשופים. - עבור על הגדרות סוכני הקידוד: חפש שרתי MCP שלא הוספת ונקודות קצה של מודלים ששונו.
- חסום ובדוק בלוגי DNS ופרוקסי את הדומיינים apexaccs[.]org, apexfdn[.]xyz ו-0auth-chromium[.]com.
- הצעות "חינמיות" של קרדיט או ביקורת אבטחה ממיזם לא מוכר הן וקטור הנדסה חברתית; אמת את המיזם לפני התקנת חבילה שהוא מציע.
מקורות: Elastic Security Labs · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
