CrowdStrike vindt LLM-malware in npm en bugbounties

CrowdStrike identificeert PhantomRaven als een waarschijnlijk met een LLM geschreven informatiedief dat via npm ontwikkelaarsomgevingen binnendringt, waarna de vermoedelijke maker bugbounties claimt.

Voor een Nederlands software- of AI-team verschuift het risico naar het moment van installeren: een pakket kan naast applicatiecode ook Git/npm-identiteit, systeeminformatie en CI/CD-gegevens binnenhalen. Daarmee wordt de dependency-tree een directe grens tussen ontwikkelwerk en bedrijfsgeheimen.

Twee pakketten, één route

In het onderzoek noemt CrowdStrike twee npm-pakketten met PhantomRaven: transform-jsbi-to-bigint, gepubliceerd door gebruiker jpdhellonpm1, en sort-imports-es6-autofix, gepubliceerd door jpd15. Beide profielen bevatten volgens het rapport aanwijzingen die de twee gebruikers aan dezelfde operator koppelen.

De pakketten bevatten weinig zichtbare code, maar verwijzen voor een afhankelijkheid naar een HTTP-adres op infrastructuur van de aanvaller. Tijdens de installatie haalt npm die externe code op. Een preinstall-script voert de stealer vervolgens automatisch uit, nog voordat een ontwikkelaar de pakketfunctionaliteit gebruikt.

Welke gegevens PhantomRaven verzamelt

PhantomRaven is een JavaScript-informatiedief. Het verzamelt onder meer het besturingssysteem, de architectuur, hostnaam, lokale en externe IP-adressen, de huidige map, het proces-ID, de Node.js-versie, opdrachtregelargumenten en omgevingsvariabelen. Ook zoekt het gebruikersnamen en e-mailadressen in Git- en npm-configuraties en leest het package.json-bestanden.

In CI/CD kijkt de malware naar omgevingsvariabelen van GitHub Actions, GitLab CI, Jenkins en CircleCI. Die kunnen authenticatietokens en API-sleutels bevatten. De gegevens worden automatisch verzonden via HTTP GET en POST; een onvolledige WebSocket-fallback bevat nog een placeholderadres.

CrowdStrike meldt dat Falcon Complete meerdere incidenten met PhantomRaven onderzocht en verholpen heeft. Het rapport noemt geen bevestigde klantorganisaties die via deze twee pakketten zijn geraakt.

De bug-bountylaag

De vermoedelijke operator profileert zich sinds november 2022 als bug bounty hunter. Axios meldt dat de operator via platforms als Bugcrowd, Intigriti, YesWeHack, HackenProof en HackerOne bounties heeft verzameld bij minstens negen entiteiten in technologie, retail en hospitality. Dat is geen lijst van bevestigde PhantomRaven-slachtoffers: het is niet vastgesteld of de malware juist deze organisaties heeft gecompromitteerd of de genoemde kwetsbaarheden heeft gevonden.

Volgens CrowdStrike gebruikte de operator vermoedelijk gestolen toegang om kwetsbaarheden op te sporen en vervolgens in te dienen bij legitieme bug-bountyprogramma’s. Onderzoekers zagen tot nu toe geen PhantomRaven-logs te koop op criminele marktplaatsen. Dat wijst erop dat de stealer vooral als middel voor bug-bountyonderzoek werd ingezet, niet als los dataproduct.

Installeren wordt een beveiligingsbeslissing

De npm-keten krijgt intussen een andere standaard. De npm-documentatie blokkeert install-scripts van afhankelijkheden standaard en houdt expliciete goedkeuringen bij in allowScripts. Een team kan een script nog steeds bewust toestaan, maar de stille uitvoering maakt plaats voor een zichtbaar beslismoment.

GitHub beschrijft voor npm 12 ook dat afhankelijkheden van externe URL’s standaard niet meer worden opgehaald zonder expliciete toestemming. Dat raakt precies de route die PhantomRaven gebruikt. Het maakt een pakket niet automatisch betrouwbaar, maar verkleint wel de kans dat een verborgen installatiestap onopgemerkt meedraait.

De ruim 140 Mastra-pakketten voor AI-agenten waarin eerder een credential-steler werd geïnjecteerd laten zien dat vertrouwde ontwikkelhulpmiddelen al vóór PhantomRaven een directe aanvalsvector vormden. Deze casus voegt daar een tweede laag aan toe: dezelfde toegang tot een ontwikkelomgeving kan niet alleen geheimen opleveren, maar ook geloofwaardigheid en inkomsten via een bug-bountyproces. De opvallendste verschuiving zit daarom niet in een nieuwe aanvalstechniek, maar in de snelheid waarmee AI bestaande supply-chainroutes bruikbaar maakt.