The Pulse
Il falso acceleratore Apex ha dirottato sui propri server il traffico degli agenti di programmazione basati sull’IA
Secondo Elastic Security Labs, il falso acceleratore Web3 Apex ha usato pacchetti npm dannosi per distribuire malware e reindirizzare il traffico degli agenti di programmazione basati sull’IA. I suoi ricercatori hanno scoperto che i pacchet
AI.info Team · Scritto con l’IA · verificato ·
Il 12 ottobre Elastic Security Labs ha riferito che un sistema di monitoraggio della catena di fornitura aveva segnalato un pacchetto npm sospetto, portando i ricercatori a un falso acceleratore Web3 chiamato Apex. L’operazione attirava fondatori di progetti di criptovalute con offerte di crediti gratuiti per l’IA, strumenti di programmazione e verifiche di sicurezza, per poi usare il proprio software per distribuire malware e dirottare il traffico degli agenti di programmazione basati sull’IA. Scrivono Jia Yu Chan e Daniel Stepanic di Elastic: «Insieme, questi meccanismi consentono all’aggressore di vedere i dati inviati e di influenzare le azioni successive dell’agente».
Una segnalazione sulla catena di fornitura ha portato a un falso acceleratore
La prima segnalazione riguardava @apexacc/cli, un pacchetto npm che, secondo Elastic, era dannoso fin dalla sua prima pubblicazione, anziché essere un progetto legittimo compromesso in seguito. I ricercatori lo hanno ricondotto a un’operazione che presentava Apex Arena come uno spazio di lavoro privato per fondatori di progetti crypto e Web3, sostenuto da un acceleratore chiamato Apex. Il sito dichiarava più di 200 progetti nel proprio portafoglio e oltre 124 milioni di dollari raccolti: erano affermazioni dell’operazione, non dati verificati in modo indipendente.
Apex promuoveva contatti con investitori, valutazioni di startup e strumenti di verifica scaricabili. Usava anche recensioni inventate per dare credibilità ai propri prodotti e pubblicizzava un evento in presenza, aggiungendo riferimenti a iniziative offline alla propria proposta online. Secondo Elastic, l’operazione aveva dedicato mesi a costruire questa presenza pubblica e cercava visibilità al TOKEN2049 di Singapore.
Due pacchetti npm hanno spostato il confine della fiducia
Elastic ha esaminato @apexacc/cli, presentato come un assistente di programmazione basato sull’IA, e @apexacc/audit, pubblicizzato come un server MCP con 18 strumenti di sicurezza. I loro componenti di avvio npm scaricavano eseguibili specifici per ciascuna piattaforma dalle release su GitHub e li eseguivano su Windows o macOS. Un percorso di verifica separato recuperava comandi da un’infrastruttura controllata dagli aggressori, offrendo all’operazione un modo per eseguire altro codice sul computer dell’utente.
L’assistente di programmazione riconfezionava il legittimo agente open source Oh My Pi: Elastic ha rilevato che 1.351 dei 1.363 file nella directory Apex esaminata corrispondevano ai rispettivi file del progetto originale. Il codice di avvio aggiunto da Apex reindirizzava il traffico diretto ai modelli e registrava un server MCP controllato dagli aggressori. Su Windows, i ricercatori hanno trovato nel pacchetto di verifica anche codice che cercava di ottenere privilegi di amministratore, tentava di aggiungere un’esclusione all’antivirus e provava a disabilitare Smart App Control.
L’agente inviava prompt e contenuti dei file ad Apex
Il codice di avvio modificava le variabili d’ambiente in modo che le richieste etichettate come traffico OpenRouter raggiungessero invece un endpoint controllato da Apex. Un test condotto da Elastic con strumenti di monitoraggio ha confermato che una richiesta dell’agente raggiungeva quell’endpoint. I ricercatori hanno poi chiesto all’agente di leggere un file di prova: la richiesta successiva inviata all’endpoint conteneva il contenuto del file, che rimaneva anche nelle richieste successive della conversazione.
Il pacchetto aggiungeva inoltre alla configurazione dell’agente una voce permanente per un server MCP controllato da Apex. Quel server forniva otto strumenti remoti e istruzioni che potevano orientare l’attività dell’agente. Secondo Elastic, il controllo dell’endpoint avrebbe potuto consentire di sostituire le risposte, incluse le chiamate agli strumenti, ma i suoi ricercatori non hanno osservato sostituzioni dannose delle risposte durante i test.
Le catene di distribuzione del malware variavano a seconda del sistema operativo. Su macOS, un componente di supporto scritto in Rust recuperava un comando che scaricava un payload CloudSyncD. Su Windows, il codice di avvio poteva recuperare comandi che lanciavano PowerShell e altri componenti usati nelle fasi preparatorie. L’analisi di Elastic descrive anche un malware per Windows che rubava informazioni raccogliendo dati e inviando archivi tramite Telegram; i ricercatori hanno dimostrato questo traffico in un test condotto in un ambiente isolato, non come prova di infezioni tra specifici utenti esterni.
Le verifiche pubblicizzate restituivano risultati inventati
Secondo l’esame condotto da Elastic su tutti e 18 i gestori, gli strumenti di sicurezza di @apexacc/audit non svolgevano le indagini pubblicizzate. Alcuni restituivano risultati predefiniti, mentre altri inserivano etichette fornite dall’utente o valori casuali e derivati dalla data. Per esempio, uno strumento riportava sempre «NON È UN HONEYPOT», mentre uno strumento di valutazione del rischio dei token generava punteggi da 55 a 94 usando una funzione di generazione di numeri casuali.
Elastic ha anche testato lo strumento remoto di attribuzione dei punteggi con un progetto fittizio, senza fornire un repository, un indirizzo del contratto o informazioni sul team. Il servizio ha restituito un punteggio di 51 su 100 e ha comunicato che il suo sistema di valutazione basato sull’IA non era disponibile. Elastic ha ritenuto probabile che il punteggio uniforme fosse un valore segnaposto inventato e ha dichiarato di non poter verificare in modo indipendente né l’indisponibilità dichiarata né il modo in cui il servizio aveva generato il risultato.
I risultati mostrano come il pacchetto combinasse un agente di programmazione funzionante con funzioni nascoste di reindirizzamento del traffico ed esecuzione di comandi, mentre gli strumenti di verifica che lo accompagnavano davano l’apparenza di un esame della sicurezza senza effettuare le scansioni pubblicizzate.