JFrog'un yeni araştırmasına göre, öğrenci web proxy'si kılığındaki 148 npm paketi, Mayıs ayında yaklaşık iki hafta boyunca ziyaretçilerin tarayıcılarını dağıtık hizmet engelleme (DDoS) botnet'ine dönüştürdü.
Paketler, onları kurabilecek geliştiricileri hedef almıyordu. Operatörler, npm kaydını tuzaklı bir proxy sitesi için ücretsiz barındırma olarak kullandı ve okul web filtrelerini aşmaya gelen öğrencilerin saldırı trafiği sağlamasına izin verdi.
Paketler charlie-kirk, ilovefemboys ve miguelphonk gibi isimlerle yayınlandı. Her biri "Lucide" markalı bir proxy uygulaması taşıyor ve Riverbend Tutoring veya Northstar Tutoring adlı ders sayfaları gibi görünüyordu.
Görünüşte proxy çalışıyordu; öğrencilerin içerik filtrelerini aşarak oyunlara ve engellenen sitelere ulaşmasını sağlıyordu. Ancak arka planda, operatörlerin istediği zaman değiştirebileceği bir uzaktan kod yükleyici ve Wisp proxy protokolüyle konuşacak şekilde tasarlanmış bir WebSocket flood üreticisi yüklüyordu. Sayfayı açan herkes, farkında olmadan sürüye katılıyordu.
Bunların hiçbiri kurulum anında çalışmıyor. Paketlerde herhangi bir yaşam döngüsü kancası veya yerel derleme betiği bulunmuyor ve hiçbir zaman bir projeye aktarılmak üzere yazılmamışlar.
Eylül 2025'te 500'den fazla paketi etkileyen kendi kendini kopyalayan Shai-Hulud solucanı, geliştirici sırlarını toplamış ve çalıntı token'larla kendini yeniden yayınlamıştı. Bundan günler önce, qix olarak bilinen bakıcıya yönelik bir kimlik avı saldırısı, haftalık milyarlarca indirilen chalk, debug ve diğer 16 pakete cüzdan boşaltan kod sızdırmıştı.
Bu saldırılar, bir paket kurulduğu anda devreye giriyor ve yazılım geliştiren kişileri hedef alıyor. Yeni keşfedilen kampanya ise derleme sürecini atlıyor ve bir tarayıcı sekmesinde bekliyor.
SafeDep'in Mayıs ayında yayınladığı daha önceki bir uyarı, 141 paketi kataloglamış ve bunu reklam yazılımı ve kayıt defteri kötüye kullanımı olarak değerlendirmişti: Öğrencileri hedef alan bir Scramjet proxy'sine eklenmiş popunder reklamlar, üçüncü taraf para kazanma betikleri ve Google Analytics takibi. Yüzeyde görünenler için bu değerlendirme geçerliydi.
