پکیج‌های npm مرتبط با کره شمالی، ابزارهای Rollup Polyfill را جعل می‌کنند تا اسرار توسعه‌دهندگان را بدزدند

بسته‌های مخرب npm مرتبط با کره شمالی که ابزارهای مشروع Rollup polyfill را جعل می‌کنند، توسط شرکت امنیتی JFrog شناسایی شدند. این بسته‌ها که به گروه لازاروس (Lazarus) وابسته به کره شمالی نسبت داده می‌شوند، شامل «rollup-packages-polyfill-core» و «rollup-runtime-polyfill-core» هستند و از ساختاری چندلایه برای دور زدن تحلیل‌های امنیتی بهره می‌برند. این بسته‌ها پس از نصب، کدهای مرحله دوم را بارگذاری کرده و با دریافت یک بارگذار رمزنگاری‌شده جاوااسکریپت (encrypted JavaScript payload) از سرور خارجی، قابلیت‌های گسترده‌ای از جمله دسترسی از راه دور (remote access)، سرقت اطلاعات مرورگر و کیف‌پول‌های ارز دیجیتال، ضبط محتوای کلیپ‌بورد، و جمع‌آوری فایل‌های حساس توسعه‌دهندگان از جمله کلیدهای SSH، اعتبارنامه‌های ابری (cloud credentials) و تنظیمات ابزارهای هوش مصنوعی نظیر AWS، Azure، Google Gemini و Anthropic Claude را فراهم می‌کنند.

همزمان با این کشف، محققان شرکت‌های Checkmarx، SafeDep و AWS موجی گسترده از حملات زنجیره تأمین نرم‌افزار (software supply chain attacks) را در مخازن متن‌باز شناسایی کردند. این حملات شامل دست‌کم هشت نسخه تروجانیزه‌شده از کتابخانه «pyrogram» در PyPI، سی بسته npm جعلی هدف‌گیری‌کننده توسعه‌دهندگان DeFi، و بسته‌هایی است که اعتبارنامه‌های حساس را از طریق تلگرام، Slack و قراردادهای هوشمند اتریوم (Ethereum smart contracts) به سرقت می‌برند. به کاربرانی که هر یک از این بسته‌ها را نصب کرده‌اند توصیه می‌شود فوراً آن‌ها را حذف، اعتبارنامه‌های خود را تغییر داده و اسکن وابستگی‌ها (dependency scanning) را در خطوط CI/CD فعال کنند.