Amazon pripisuje otmicu paketa debug i chalk severnokorejskoj grupi, ali dokazi ostaju nepotpuni
Amazon Threat Intelligence je 29. jula 2026. sa srednjim stepenom pouzdanosti povezao otmicu npm paketa debug i chalk iz septembra 2025. sa severnokorejskom grupom Sapphire Sleet. Zlonamerni kod dospeo je u najmanje 18 paketa sa ukupno više od dve milijarde nedeljnih preuzimanja.
Zašto je atribucija važna
Napad je počeo krađom pristupa pouzdanog održavaoca preko domena koji je imitirao npm. Objavljeni kod je u pregledaču presretao fetch, XMLHttpRequest i API-je novčanika, pa menjao adresu primaoca pre potpisivanja transakcije. Nije uspostavljao trajno prisustvo na računaru.
Amazon povezuje incident sa kompromitovanjem paketa axios iz marta 2026. i paketom typo-crypto iz marta 2025. Ipak, javno nisu razdvojeni konkretni dokazi za svaki slučaj. To je bitno jer axios koristi post-install mehanizam, dok debug, chalk i typo-crypto rade drugačije.
Šta pokazuju tehnički tragovi
Amazon navodi ponovljene tehnike, delove koda i preklapanje komandno-kontrolne infrastrukture. Google je napad na axios pripisao grupi UNC1069, dok je Microsoft istu aktivnost povezao sa Sapphire Sleet i nizom drugih naziva, uključujući BlueNoroff.
„Tehnike su usklađene sa onim što je kasnije uočeno u napadima na popularnije pakete“, naveo je Amazon.
typo-crypto@4.3.0 je 30. jula i dalje bio dostupan za instaliranje. Paket nema install skriptu, a datoteka core.js aktivira se tek uz poseban unos, posle čega preuzima drugu fazu sa ugrađenog C2 servera. Objavljeni registar pokazuje samo jednu verziju, što ne odgovara potpuno opisu kompromitovanog održavaoca i naknadnog zlonamernog ažuriranja.
Dodatnu nejasnoću stvara hash koji je Amazon označio kao hash paketa, iako odgovara datoteci core.js, dok navedena vrednost za samu datoteku nije pronađena u dostupnom arhivu. Širi kontekst obuhvata rizike npm lanaca isporuke i zloupotrebe poverenja, jer se napadači oslanjaju na reputaciju legitimnih komponenti.
Praktična posledica za kompanije
npm v12 od 8. jula podrazumevano isključuje lifecycle skripte zavisnosti, a od 28. jula nove objave prolaze proveru pre nego što postanu dostupne. To ne štiti postojeće pakete niti sprečava krađu naloga održavalaca. Za poslovne projekte zato treba zaključavati verzije, proveravati integritet, pratiti promene vlasništva i analizirati kod koji ulazi u pregledač ili proces izgradnje.