Een gecompromitteerde npm Web3 accelerator duikt op in de npm-ecosystemen en richt zich op zowel Windows als macOS. De opzet lijkt legitiem: het gaat om een Web3 “accelerator” die gratis AI-credits en tools belooft voor founders en ontwikkelaars. In de praktijk leveren de npm-pakketten echter informatie-stealers, backdoors en zelfs het kaperen van AI-agentverkeer.
Onderzoekers van Elastic Security Labs beschrijven hoe twee npm-pakketten functioneren als misleidende “cli”- en “audit”-tools. Daarmee verspreidt de campagne kwaadaardige code én beïnvloedt ze de manier waarop een AI-agent modelverzoeken doorstuurt.
Wat is er mis met de “Web3 accelerator”?
De campagne wordt gelinkt aan een Web3 venture capital accelerator die zichzelf positioneert als Apex Accelerator. In de rapportage wordt de operatie gevolgd onder de naam REF8801. De doelgroepen zijn cryptocurrency-startups en ontwikkelaars, met gerichte benadering via social media en conferenties.
De npm-pakketten presenteren zich als nuttige producten, zoals een AI-advisory cli en een security scanner voor “DYOR” en smart contract auditing. Het resultaat is echter anders: de tools bieden de beloofde functionaliteit niet en dienen vooral om payloads te verspreiden en slachtoffers te infecteren.
De valse npm-pakketten: cli en audit
De onderzoekers noemen twee kernpakketten die zowel Windows als macOS kunnen raken:
- @apexacc/cli (Apex Copilot CLI): gepositioneerd als AI-advisor voor Web3 founders, “powered by” Claude Fable 5 en Gemini 2.5 Flash.
- @apexacc/audit (Web3 Security Scanner): claims over een Model Context Protocol (MCP)-server met 18 “security tools” voor scanning van o.a. tokens, wallets en smart contracts.
Opvallend is dat beide packages eerder door een npm-gebruiker werden gepubliceerd en gekoppeld waren aan een GitHub-account en een entiteit die naar voren komt als de “Apex Foundation”. Hoewel de pakketten en repositories later niet meer toegankelijk waren, is de distributie al eerder waargenomen.
In eerdere analyses kwam dezelfde operatie ook naar voren via andere npm-varianten, gekoppeld aan macOS-stealers uit de Atomic Stealer/AMOS-familie. Dat versterkt het beeld dat dit geen eenmalige poging is, maar een campagne die zich herverpakt om detectie te omzeilen.
Belofte versus werkelijkheid: “audit” en “scoring” genereren nepresultaten
Volgens Elastic genereren de “audit”- en “scoring”-onderdelen geen betrouwbare bevindingen. De tools produceren fabricated security findings en een test/scoresysteem dat uitkomt op een beoordeling van een niet-bestaand project.
Daarmee is de “value” die de gebruiker verwacht in feite een façade. De echte taak van de pakketten is het installeren van malware, waarbij de rest van de functionaliteit vooral dient om geloofwaardigheid te creëren.
Verspreiding werkt via stage-proces op basis van besturingssysteem
Beide packages gebruiken een eigen verificatie- en doorstuurstap per platform. Ze doen een HTTP POST om een “next stage” te starten, waarbij de aanvraag verschilt voor Windows (“win32”) en macOS (“darwin”). In deze stap wordt de verdere infectieketen aangestuurd naar een externe endpoint.
De payloads worden vervolgens opgehaald uit GitHub releases van aan de campagne gelinkte projecten. Zo kunnen aanvallers relatief snel onderdelen wisselen, terwijl de oorspronkelijke npm-distributie intact blijft.
Windows-keten: van PowerShell tot Telegram-exfiltratie
Op Windows start het proces met het ophalen van een Base64-gecodeerde PowerShell-opdracht. Daarna wordt een tweede PowerShell-script opgehaald van een extra endpoint, wat vervolgens een executable downloadt en start in een verborgen window.
Daarna volgt een keten met Python loaders (PyInstaller-gebaseerd) die:
- controleren of de malware al administratorrechten heeft;
- indien nodig proberen UAC te omzeilen via UACME;
- metadata en procesinformatie verzamelen en anti-VM-checks doen;
- AMSI en ETW patchen, unhooking toepassen en shellcode in het geheugen laden.
De uiteindelijke payload verzamelt o.a. systeembedrijfsinfo, processen, clipboard-tekst, screenshots en gegevens uit:
- Wi‑Fi profielen;
- wallets en browserextensies;
- messengers, remote-access en FTP-applicaties;
- VPN-clients;
- browsers (Chrome, Edge, Firefox, Yandex) en gameclients.
Daarnaast kan de stealer Chrome’s app-bound encryption (ABE) omzeilen om o.a. wachtwoorden, sessiecookies, browsegeschiedenis en profielmetadata te extraheren. Exfiltratie loopt volgens de onderzoekers via Telegram.
macOS-keten: CloudSyncD met wachtwoordprompt
Op macOS wordt een extern bash-script gedownload en uitgevoerd. Dat script haalt vervolgens een GZIP-compressed archive op, pakt het uit en bevat een dropper voor CloudSyncD.
De dropper gebruikt een social-engineering stap waarbij de gebruiker om een systeemloginwachtwoord wordt gevraagd via een fake autorisatieprompt. Met dat wachtwoord wordt vervolgens een payload met sudo-privileges gestart.
Daarna voert de payload host discovery uit, verzamelt hardware- en OS-details en communiceert met een externe server om data te verzenden en vervolgopdrachten terug te ontvangen. Jamf Threat Labs documenteerde CloudSyncD eerder en beschrijft daarbij dat de malware zich in de praktijk ook kan verspreiden via een fake Zoom-installer.
Extra risico: AI-agentverkeer wordt omgeleid en beïnvloed
Naast stealer- en backdoorfunctionaliteit hebben de packages een extra laag: ze kunnen OpenRouter-LLM-verkeer intercepten en redirecten. Ook kunnen ze een MCP-server onder controle van de aanvaller registreren in de agentconfiguratie.
Dat is belangrijk, omdat het de aanvaller zicht geeft op:
- prompts en conversation history;
- codefragmenten en tool outputs die de agent meestuurt;
- de instructies die later in de agentprompt worden toegevoegd.
Met die mechanismen kan de aanvaller de agent aansturen: toolnamen, beschrijvingen en invoerparameters worden zo beïnvloed dat de AI-agent anders kan gaan handelen dan bedoeld.
Waarom dit “supply chain”-achtig aanvoelt
Deze aanval maakt misbruik van de betrouwbaarheid van ontwikkeltools en package-ecosystemen. De gebruiker denkt een product te installeren (een cli of audit-tool), maar krijgt te maken met een volledig instrumentarium: nepdiagnostiek, payload delivery en beïnvloeding van AI-werkstromen.
Het is daarmee een voorbeeld van hoe de software supply chain en AI-agent security samenkomen: niet alleen data en endpoints zijn doelwit, ook het “bewijsmateriaal” en de beslissingsinputs van een agent kunnen worden gekaapt.
Wat kun je nu doen?
Hoewel de oorspronkelijke packages offline kunnen zijn, is het risico vooral dat installaties of afhankelijke processen al zijn gestart. Daarom zijn deze acties praktisch:
- Check je afhankelijkheden: controleer welke npm-pakketten recent zijn geïnstalleerd en of er verwijzingen zijn naar Apex-achtige cli/audit namen.
- Herzie build- en deployment-pipelines: sta alleen goedgekeurde dependencies toe, met lockfiles en reviews.
- Beperk outbound verkeer: let op ongebruikelijke verbindingen naar onbekende domeinen, vooral endpoints die lijken op stage-registratie of API’s.
- Monitor voor data-exfiltratie: Firebase/Telegram-achtige kanalen en processen die clipboard, screenshots of browserdata benaderen, vragen om snelle triage.
- Voor AI-agenten: audit MCP-integraties: controleer welke MCP-servers geregistreerd zijn en of agentconfiguraties correleren met verwachte infrastructuur.
Als je eerder te maken had met compromitteringen via externe tooling of AI-gerelateerde agenten, helpt het om bredere context te pakken. Lees bijvoorbeeld ook waarom “AI confidence” geen echte validatie is en wat je nu moet doen bij gecompromitteerde ConnectWise toegang—al zijn die casussen anders, de aanpak rond respons en controle is herkenbaar.
Conclusie
De gecompromitteerde npm Web3 accelerator laat zien hoe aanvallers geloofwaardigheid bouwen met valse “AI credits” en “security audit”-claims, terwijl ze via npm toch malware en backdoors leveren voor Windows en macOS. Verontrustender is dat de campagne ook AI-agentverkeer kan omleiden door MCP en LLM-proxying te beïnvloeden, waardoor prompts, geschiedenis en tooloutputs in verkeerde handen kunnen vallen.
Pak daarom zowel je dependency-hygiëne als je AI-agentconfiguraties aan. Zo voorkom je dat een ogenschijnlijk handige npm-tool je organisatie niet alleen infecteert, maar ook je intelligente workflows kan sturen.
Bron: https://thehackernews.com/2026/10/fake-web3-accelerator-uses-npm-packages.html
