Công ty an ninh mạng ArcticWolf cảnh báo, một tác nhân đe dọa đã đăng tải hàng trăm kho lưu trữ GitHub giả mạo các dự án phần mềm và bảo mật hợp pháp để phát tán phần mềm độc hại đánh cắp thông tin.

Theo trang Socket đưa tin, tin tặc Triều Tiên đang nhắm mục tiêu vào các nhà phát triển phần mềm mã nguồn mở bằng backdoor và phần mềm đánh cắp thông tin, như một phần của chiến dịch chuỗi cung ứng quy mô lớn.

Chỉ vài ngày sau khi IBM và Red Hat công bố kế hoạch tăng cường bảo mật cho phần mềm mã nguồn mở, Red Hat lại trở thành nạn nhân của một vụ tấn công mạng nghiêm trọng liên quan đến kho lưu trữ NPM. Sự cố này tiếp tục gióng lên hồi chuông cảnh báo về những rủi ro trong chuỗi cung ứng phần mềm và tầm quan trọng của việc bảo vệ thông tin trong môi trường phát triển hiện đại.    

Ngày 19/5, các tác nhân đe dọa đã công bố hơn 600 gói phần mềm độc hại lên Node Package Manager (NPM) như một phần của chiến dịch chuỗi cung ứng Shai-Hulud mới. Hầu hết các gói bị ảnh hưởng nằm trong hệ sinh thái @antv, bao gồm các thư viện như charting, flowchart hay mapping. Tuy nhiên, các gói phổ biến nằm ngoài namespace này cũng đã bị ảnh hưởng.

Các nhà nghiên cứu tại Công ty Bảo mật đám mây Wiz vừa phát hiện một lỗ hổng thực thi mã từ xa nghiêm trọng trên GitHub, dẫn đến làm lộ thông tin của hàng triệu kho lưu trữ.

Chiến dịch tấn công chuỗi cung ứng GlassWorm đã quay trở lại với một cuộc tấn công phối hợp mới, nhắm vào hàng trăm gói, kho lưu trữ và tiện ích mở rộng trên GitHub, NPM, VSCode và OpenVSX.

Loại worm máy tính tự nhân bản Shai-Hulud 2.0 từng xuất hiện trên hệ thống đăng ký NPM vào cuối tháng 11/2025, chính là nguyên nhân gây ra vụ đánh cắp 8,5 triệu USD từ ví tiền điện tử Trust Wallet gần đây.

Làn sóng thứ tư của chiến dịch GlassWorm đang nhắm mục tiêu vào các nhà phát triển macOS bằng các tiện ích mở rộng VSCode/OpenVSX độc hại, phát tán các phiên bản bị lây nhiễm mã độc của các ứng dụng ví tiền điện tử.

Hơn 10.000 container image trên Docker Hub để rò rỉ dữ liệu cần được bảo vệ, bao gồm thông tin đăng nhập trực tiếp vào hệ thống sản xuất, cơ sở dữ liệu CI/CD hoặc khóa mô hình LLM.

Theo báo cáo của Kaspersky, hãng bảo mật này phát hiện các hoạt động độc hại mới của tin tặc Tomiris kể từ đầu năm 2025. Các cuộc tấn công này nhắm vào các bộ ngoại giao, tổ chức liên chính phủ và các cơ quan chính phủ, cho thấy sự tập trung vào cơ sở hạ tầng chính trị và ngoại giao có giá trị cao. Trong một số trường hợp, các nhà nghiên cứu theo dõi hành động của tác nhân đe dọa từ giai đoạn lây nhiễm ban đầu đến giai đoạn triển khai các framework sau khi khai thác. Những cuộc tấn công này cho thấy sự thay đổi đáng chú ý trong chiến thuật của Tomiris. Để làm sáng tỏ hơn, bài viết sẽ cùng tìm hiểu khám phá cách thức hoạt động của nhóm tin tặc APT này, dựa trên phân tích của Kaspersky.