Amazoni raport: Põhja-Korea häkkerid ründavad globaalseid tarkvarateeke

Amazoni küberkaitseüksus on tuvastanud seose Põhja-Korea häkkerite ja mitmete populaarsete JavaScripti tarkvarateekide kompromiteerimise vahel. Ründajad on kasutanud sotsiaaltehnikat ja automatiseeritud tööriistu, et levitada pahavara ülemaailmsetes pilvekeskkondades.

Amazoni küberkaitseüksuse värske raport viitab, et mitmed laialdaselt kasutatavad tarkvarateegid on langenud Põhja-Korea riikliku häkkerirühmituse rünnakute ohvriks. Need rünnakud on suunatud NPM-hoidlasse, peamisesse JavaScripti koodijuppide varamusse, mida arendajad üle maailma oma projektidesse integreerivad.

Ründajad, keda küberjulgeoleku eksperdid tunnevad nimede all nagu Sapphire Sleet, Stardust Chollima ja BlueNoroff, kasutavad ära arendajate usaldust. Nad pääsevad ligi populaarsete teekide haldajate kontodele sotsiaaltehniliste meetoditega ning avaldavad seejärel uusi versioone, mis sisaldavad peidetud pahavara. Kuna paljud pilvekeskkonnad ja rakendused laadivad uuendusi automaatselt alla, levib oht kiiresti edasi.

Rünnakute ulatus ja ajalugu

Amazon toob näitena 2025. aasta märtsis toimunud rünnaku typo-crypto teegile. Sama aasta septembris tabas sarnane saatus debug ja chalk teeke. 2026. aasta märtsis võeti sihikule axios, mida laaditi alla üle 100 miljoni korra nädalas. Wiz Researchi andmetel suutsid rünnakud debug ja chalk teekide vastu mõjutada ligikaudu iga kümnendat pilvekeskkonda vaid kahe tunni jooksul pärast pahatahtliku uuenduse avaldamist.

Rühmitus on oma taktikat oluliselt muutnud. Varem maskeeriti pahavara lihtsate nimede taha, kuid nüüd kasutatakse keerukamat lähenemist, kus kood on jaotatud mitme näiliselt kahjutu teegi vahel. Üks teek hoiab andmeid, teine lahtikodeerijat ja kolmas käivitab pahavara. See taktika aitab vältida automaatseid turvakontrolle, mis analüüsivad teeke ükshaaval.

Tehisintellekti roll rünnakutes

Raport rõhutab, et ründajad kasutavad üha enam generatiivset tehisintellekti, et muuta oma kood usutavamaks. Varem andsid ründajad end välja vigase keelekasutuse, puuduliku dokumentatsiooni või korduva koodi tõttu. Nüüd suudavad nad genereerida tuhandeid ridu sidusat koodi, luua usutavaid arendajaprofiile ja kirjutada veenvaid uuenduste kirjeldusi. Samuti on kasutusele võetud "slop-squatting", ründaja registreerib teegi nime, mille tehisintellekt on arendajale soovitanud, kuid mis tegelikult ei eksisteeri.