۱۴۸ بسته npm مبدل به پروکسی دانشجویی، مرورگرها را به یک بات‌نت DDoS تبدیل کردند

یک کمپین مخرب متشکل از ۱۴۸ بسته (package) در مخزن npm کشف شده که با ظاهر پروکسی‌های وب دانش‌آموزی، مرورگر بازدیدکنندگان را بدون اطلاع آن‌ها به بخشی از یک بات‌نت (botnet) برای حملات منع سرویس توزیع‌شده (DDoS) تبدیل می‌کرد. بر اساس تحقیقات شرکت JFrog، این کمپین که حدود دو هفته در ماه مه ۲۰۲۵ فعال بود، از مخزن npm به‌عنوان میزبانی رایگان برای یک سایت پروکسی تله‌گذاری‌شده استفاده می‌کرد. دانش‌آموزانی که برای دور زدن فیلترهای مدرسه به این سایت‌ها مراجعه می‌کردند، ناخواسته ترافیک حمله را تأمین می‌کردند. این بسته‌ها زیر نام‌هایی مانند charlie-kirk و miguelphonk منتشر شده و به‌عنوان صفحات آموزشی جعلی طراحی شده بودند. هر بازدیدکننده‌ای که صفحه را باز می‌کرد، بدون هیچ نصبی، به‌طور خودکار به جمع مهاجمان می‌پیوست.

تیم JFrog با رمزگشایی یک فایل جاوااسکریپت (JavaScript) پنج و نیم مگابایتی تک‌خطی، دو ماژول مخرب را شناسایی کرد: اول یک بارگذار کد از راه دور (remote code loader) که از یک مخزن GitHub با شاخه قابل تغییر و بدون هیچ بررسی یکپارچگی، کد اجرا می‌کرد؛ و دوم یک مولد سیل وب‌سوکت (WebSocket flood generator) مبتنی بر پروتکل Wisp که هر مرورگر را قادر می‌ساخت تا هزاران اتصال در ثانیه برقرار و قطع کند. JFrog تخمین می‌زند هر هزار تب باز پروکسی می‌توانست حدود ۲ گیگابایت در ثانیه ترافیک مخرب تولید کند. اگرچه اکثر این بسته‌ها از npm حذف شده‌اند، اما JFrog هشدار می‌دهد که قابلیت حمله کاملاً از بین نرفته و تنها غیرفعال شده است؛ مهاجمان می‌توانند با یک تغییر ساده در مخزن GitHub، بدون نیاز به به‌روزرسانی بسته، آن را مجدداً فعال کنند.