Een financieel gemotiveerde bedreigingsacteur is in verband gebracht met de ontwikkeling en distributie van een op JavaScript (JS) gebaseerde informatiediefstaler die bekend staat als PhantomRaaf via het npm-pakketregister.
“De ontwikkelaar heeft de malware waarschijnlijk geschreven met behulp van een groot taalmodel (LLM), een beoordeling die met veel vertrouwen is gemaakt op basis van uitgebreide opmerkingen, tijdelijke code en statistische tokenanalysepatronen”, zei Counter Adversary Operations van CrowdStrike in een analyse die deze week werd gepubliceerd.
PhantomRaven werd eind oktober 2025 voor het eerst gemarkeerd door Koi Security en DCODX, waarbij de aandacht werd gevestigd op een slordige en typosquatted-campagne waarin meer dan 100 kwaadaardige pakketten naar npm werden geüpload om authenticatietokens, CI/CD-geheimen en GitHub-inloggegevens van de machines van ontwikkelaars te stelen.
Bij de software supply chain-aanval werden deze pakketten gebruikt als dekmantel om een externe dynamische afhankelijkheid (RDD) van een externe server op te halen, zodat de bibliotheken zelf niet werden gemarkeerd door beveiligingstools.
Eenmaal geïnstalleerd scant de malware die is ingebed in de externe afhankelijkheid de ontwikkelaarsomgeving op e-mailadressen, verzamelt informatie over de CI/CD-omgeving, verzamelt een systeemvingerafdruk, inclusief het openbare IP-adres, en verzendt de resultaten naar een door de aanvaller bestuurde server.
Het is ook uitgerust om runtimegegevens, huidige datum en tijd, gebruikersnaam en e-mailadressen van Git/npm-configuraties te verzamelen, evenals CI/CD-omgevingsvariabelen voor GitHub Actions, GitLab CI, Jenkins en CircleCI.
Uit de laatste bevindingen van CrowdStrike blijkt dat de bedreigingsacteur actief is sinds november 2022 en beweert een premiejager te zijn die premies heeft verzameld van niet minder dan negen entiteiten in de technologie-, detailhandel- en horecasector.
Het cyberbeveiligingsbedrijf zei dat het geen informatie heeft waargenomen die is gestolen uit de malware die in stealer-logshops verschijnt, wat aangeeft dat “de exploitant de informatie-stealer waarschijnlijk uitsluitend gebruikt om bugbounty-kansen te identificeren.”
Er zijn ten minste twee verschillende npm-gebruikersaccounts waargenomen die door de operator worden onderhouden en die npm-pakketten met PhantomRaven pushen. Beide npm-accounts zijn op het moment van schrijven niet meer toegankelijk.
- jpdhellonpm1 – transform-jsbi-naar-bigint
- jpd15 – sort-imports-es6-autofix
Enkele van de andere online identiteiten die aan dezelfde operatie zijn gekoppeld, zijn onder meer jpd12, jpd13, npmhell, npmpackagejpd, npmtestdharsh, jpdhackerone11 en packageharsh.
“In augustus 2025 beweerde de bedreigingsacteur een kwetsbaarheid voor het uitvoeren van externe code (RCE) te hebben ontdekt via een kwaadaardig npm-pakket dat ze hadden gepubliceerd”, merkte beveiligingsonderzoeker Maddie Stewart op. “De bedreigingsacteur legde uit dat ze de doelmachine hadden gecompromitteerd en hun pre-installatiescript hadden uitgevoerd, waardoor ze naar verluidt RCE konden bereiken.”
Bovendien is er bewijs naar voren gekomen dat de bedreigingsacteur heeft geprobeerd pakketten naar de Python Package Index (PyPI)-repository te pushen die code bevat voor een informatiedief die overeenkomsten vertoont met PhantomRaven.
Het waarschijnlijke gebruik van een groot taalmodel (LLM) om de malware te genereren benadrukt nogmaals hoe bedreigingsactoren de technologie steeds meer in hun activiteiten toepassen, waardoor de tijd en moeite die nodig is om dergelijke campagnes uit te voeren, wordt gecomprimeerd.
“De meeste criminele actoren (…) huren commodity-tools of exploiteren hun eigen propriëtaire malware; deze bedreigingsacteur heeft echter waarschijnlijk zijn eigen PhantomRaven ontwikkeld om bedrijfsmiddelen in gevaar te brengen en deze compromissen vervolgens gebruikt als hefboom om beloningen te claimen van gerenommeerde openbaarmakingsprogramma’s”, aldus CrowdStrike.
