Apex Arena 假創投以惡意 npm 套件鎖定加密貨幣新創，同步攔截 AI 代理流量

Elastic Security Labs（Elastic 旗下資安研究團隊）於 10 月 12 日發布研究指出，一個冒充 Web3 創投加速器的組織，以免費 Claude 與 Gemini AI 使用額度、程式開發工具及資安稽核服務為誘餌，透過惡意 npm 套件向加密貨幣新創及其創辦人散布資訊竊取程式與後門，鎖定 Windows 與 macOS。研究人員將這起行動追蹤為 REF8801，並發現部分套件還會攔截開發者透過 AI 代理發出的大型語言模型（LLM）請求。

以投資宣稱與展會現身建立信任

Elastic 指出，該行動以「Apex Arena」為名，自稱為加密貨幣新創創辦人提供私人工作空間。網站宣稱，其投資組合涵蓋逾 200 個專案，募資總額超過 1.24 億美元，並提供智慧合約稽核與新創評分等服務。

研究人員表示，攻擊者透過偽造評論營造口碑，也出席新加坡加密貨幣產業展會 TOKEN2049 等實體活動，藉此「間接為專案增添可信度」。

兩款套件，分別鎖定 Windows 與 macOS

Elastic 的供應鏈監控機器人首先對 @apexacc/cli 發出警示。研究人員確認，這款套件從首次發布起就含有惡意程式碼，並非原本正常的套件遭入侵後才被植入。@apexacc/cli 自稱是 AI 程式開發助理；@apexacc/audit 則宣稱是提供 18 項資安工具的模型上下文協定（Model Context Protocol，MCP）伺服器。

安裝套件後，程式會從 GitHub 下載適用於不同作業系統的執行檔，並向攻擊者控制的網域回報作業系統資訊，以取得後續指令。Windows 感染流程會透過多階段載入程式執行，並嘗試繞過使用者帳戶控制（UAC），修改反惡意程式掃描介面（AMSI）與 Windows 事件追蹤（ETW）來規避偵測，最後載入客製化資訊竊取程式，並透過 Telegram 外傳資料。

在 macOS 上，套件會下載 CloudSyncD 後門，並以偽造的授權視窗誘騙使用者輸入登入密碼。接著，程式會利用 sudo 權限執行內嵌酬載，蒐集系統資訊並回傳至命令與控制（C2）伺服器。資安業者 Jamf 先前也曾揭露這款後門，當時攻擊者是透過假冒的 Zoom 安裝程式散布。

竊取範圍涵蓋加密錢包與 AI 工具設定

Windows 竊資程式鎖定加密錢包、瀏覽器擴充功能、通訊軟體與 VPN 用戶端等目標，並能繞過 Chrome 的應用程式綁定加密（ABE），擷取已儲存的密碼與工作階段 Cookie。Elastic 也確認，該程式會讀取並外傳 Claude Desktop、Cursor 與 Windsurf 等 AI 工具的設定檔。

AI 代理請求遭導向攻擊者伺服器

@apexacc/cli 重新包裝了開源程式開發代理 Oh My Pi。Elastic 比對後發現，Apex Copilot 的 1,363 個檔案中，有 1,351 個與原專案完全相同。攻擊者藉此保留原有功能，掩護惡意程式碼。

該程式會將原本標示為 OpenRouter（LLM 路由服務）的模型請求，轉送至攻擊者控制的 API，並在受害者的代理設定檔中加入攻擊者的 MCP 伺服器設定。Elastic 指出，攻擊者因此能取得提示詞、對話紀錄、程式碼片段與工具輸出，也能透過 MCP 伺服器影響代理後續行動。研究人員測試確認，請求確實送至該端點，但未觀察到模型回應遭到惡意替換。

稽核工具回傳造假結果

@apexacc/audit 的 18 項工具都沒有執行其宣稱的掃描，而是回傳預先撰寫的固定報告或隨機產生的結果。@apexacc/cli 的評分服務則給 Elastic 虛構的專案 51 分。Elastic 研判，這可能是預設的造假分數。

攻擊者身分尚未明朗

Elastic 在歷史提交紀錄中發現少量俄文註解，但強調，僅憑這些語言線索，無法判定攻擊者的國籍或身分。資安業者 SafeDep 此前也曾揭露同一發布者上架的其他惡意套件。據報導，相關套件與 GitHub 專案目前均已無法存取。Elastic 的報告則列出相關偵測規則與入侵指標（IOC），供防禦人員參考。

本文轉載自 TheHackerNews。