Een nieuwe golf van aanvallen uit de PhantomRaven supply-chain campagne treft de npm registry met 88 kwaadaardige pakketten die gevoelige gegevens van JavaScript-ontwikkelaars stelen. De campagne, die sinds augustus 2025 actief is, werd in oktober 2025 ontdekt door cybersecuritybedrijf Koi, dat toen al 126 malafide pakketten op het npm-platform had geïdentificeerd.

Onderzoek van Endor Labs toonde aan dat tussen november 2025 en februari 2026 drie extra aanvalsgolven plaatsvonden waarbij 88 pakketten werden verspreid via 50 wegwerpaccounts. De aanvallers gebruikten 'slopsquatting' om legitieme projecten zoals Babel en GraphQL Codegen na te bootsen, en publiceerden pakketten met namen die lijken te zijn gegenereerd door grote taalmodellen. Volgens Endor Labs zijn 81 van deze kwaadaardige PhantomRaven-pakketten nog steeds beschikbaar in de npm registry.

PhantomRaven maakt gebruik van een techniek genaamd Remote Dynamic Dependencies (RDD), waarbij het metadata-bestand 'package.json' een afhankelijkheid specificeert die wordt geladen vanaf een externe URL. Hierdoor hoeft de kwaadaardige code niet direct in het pakket te staan, wat automatische inspectie omzeilt. Bij het uitvoeren van 'npm install' wordt de malware automatisch gedownload van de server van de aanvaller en uitgevoerd.

De malware verzamelt diverse gevoelige informatie van het geïnfecteerde systeem, zoals e-mailadressen uit .gitconfig, .npmrc en omgevingsvariabelen. Ook richt het zich op CI/CD-tokens van platforms als GitHub, GitLab, Jenkins en CircleCI. Daarnaast worden systeemgegevens zoals IP-adres, hostnaam, besturingssysteem en Node-versie verzameld om het apparaat te identificeren. In de laatste fase worden de gestolen gegevens via HTTP GET, POST of WebSocket-verzoeken naar de command-and-control server van de aanvaller gestuurd.

Endor Labs constateerde dat de infrastructuur over alle vier de aanvalsgolven consistent bleef, met domeinen die het woord 'artifact' bevatten en gehost worden op Amazon EC2 zonder TLS-certificaat. De malwarecode veranderde nauwelijks, terwijl de aanvallers wel npm- en e-mailaccounts roteren, metadata aanpassen en PHP-endpoints wijzigen. De frequentie van publicaties nam toe, met vier pakketten op één dag in februari 2026.

Hoewel de PhantomRaven-campagne niet bijzonder geavanceerd is, blijft deze actief door minimale aanpassingen in domeinen, endpoints, accounts en afhankelijkheidsnamen. Ontwikkelaars wordt aangeraden de legitimiteit van gebruikte pakketten te controleren, alleen software van betrouwbare uitgevers te gebruiken en geen codevoorstellen van AI-chatbots of onbewezen bronnen klakkeloos over te nemen.