Amazon: samme nordkoreanske gruppe bak npm-angrepene på debug, chalk og axios

Amazon Threat Intelligence skriver at kompromitteringene av npm-pakkene typo-crypto, debug, chalk og axios ble utført av samme nordkoreansk-koblede aktør, sporet i sikkerhetsmiljøet som SAPPHIRE SLEET, STARDUST CHOLLIMA og BlueNoroff. Angrepene mot typo-crypto i mars 2025, debug og chalk i september 2025 og axios i mars 2026 har ikke tidligere vært knyttet offentlig til gruppen. Amazon oppgir middels konfidens, basert på delte teknikker, gjenbrukt kode og felles infrastruktur for kommando og kontroll.

Fremgangsmåten var den samme hver gang: sosial manipulasjon av en vedlikeholder med publiseringsrettigheter, deretter en ny versjon med ondsinnet kode. Alle som automatisk hentet siste versjon, fikk oppdateringen. Axios alene lastes ned over 100 millioner ganger i uken.

Septemberangrepet i 2025 er det mest omtalte. Sikkerhetsselskapet Aikido talte 18 rammede pakker med over to milliarder ukentlige nedlastinger til sammen, og Amazon viser til tall fra Wiz Research om at omtrent én av ti skymiljøer var berørt innen to timer.

«Koden avlytter krypto- og web3-aktivitet i nettleseren, manipulerer wallet-interaksjoner og skriver om betalingsmottakere» — Aikido Security, i analysen av de kompromitterte versjonene

Det ferske sporet i rapporten er en trojanisert core.js i typo-crypto fra mars 2025, som Amazon vurderer som gruppens testområde før de større kampanjene. Filen ligger nå i OSV-databasen som MAL-2026-3400.

For deg som bygger er KI-delen av rapporten mest relevant. Amazon beskriver at ondsinnede pakker tidligere ble avslørt fordi de så gale ut: dårlig språk, tynn dokumentasjon, gjenbrukte funksjoner. Generativ KI fjerner de signalene, og hver variant kan muteres til noe uten stabil signatur.

«For et år siden lette vi etter ondsinnede pakker. I dag ser vi etter ondsinnet oppførsel splittet over pakker som hver for seg ser ufarlige ut» — Amazon Threat Intelligence og Amazon Inspector, i rapporten

To angrepsveier peker rett mot verktøykjeden din. Slopsquatting går ut på å registrere pakkenavn som bare finnes fordi en KI-assistent hallusinerte dem, og så vente på at noen følger anbefalingen. Amazon venter også at indirekte prompt-injeksjon blir skjult i kildekommentarer, README-filer og docstrings for å overtale KI-baserte skannere til å godkjenne ondsinnet kode. Selskapet oppgir at det sammen med Linux Foundation og andre har gått inn med 12,5 millioner dollar i initiativet Akrites, som skal beskytte kritisk åpen kildekode mot KI-drevne angrep.

Hva bør du gjøre?

1. Slå av post-install-skript i CI med «npm install --ignore-scripts», og lås avhengighetene til eksakte versjoner i stedet for versjonsområder.
2. Legg inn karantene på nye versjoner. Både debug, chalk og axios ble oppdaget og trukket i løpet av timer, så noen dagers forsinkelse fjerner mesteparten av eksponeringen.
3. Kontroller at pakkenavn en KI-assistent eller kodeagent foreslår faktisk finnes fra før, med nedlastingshistorikk og repo, før du lar den installere noe.