Theo Microsoft, nhóm tin tặc của Triều Tiên với tên gọi Sapphire Sleet là tác nhân thực hiện vụ tấn công chuỗi cung ứng Mastra, ảnh hưởng đến hơn 140 gói NPM trong thời gian gần đây.

Chỉ vài ngày sau khi IBM và Red Hat công bố kế hoạch tăng cường bảo mật cho phần mềm mã nguồn mở, Red Hat lại trở thành nạn nhân của một vụ tấn công mạng nghiêm trọng liên quan đến kho lưu trữ NPM. Sự cố này tiếp tục gióng lên hồi chuông cảnh báo về những rủi ro trong chuỗi cung ứng phần mềm và tầm quan trọng của việc bảo vệ thông tin trong môi trường phát triển hiện đại.    

Các nhà nghiên cứu bảo mật cảnh báo rằng các biến thể mới của cuộc tấn công chuỗi cung ứng Shai-Hulud đã nhắm vào hơn 100 gói phần mềm trên hệ sinh thái NPM và PyPI.

Ngày 19/5, các tác nhân đe dọa đã công bố hơn 600 gói phần mềm độc hại lên Node Package Manager (NPM) như một phần của chiến dịch chuỗi cung ứng Shai-Hulud mới. Hầu hết các gói bị ảnh hưởng nằm trong hệ sinh thái @antv, bao gồm các thư viện như charting, flowchart hay mapping. Tuy nhiên, các gói phổ biến nằm ngoài namespace này cũng đã bị ảnh hưởng.

Một cuộc tấn công chuỗi cung ứng mới nhắm vào hệ sinh thái Node Package Manager (NPM) nhằm đánh cắp thông tin đăng nhập của nhà phát triển, đồng thời cố gắng lây lan thông qua các gói được phát hành từ các tài khoản bị xâm phạm.

Sự phát triển nhanh của hệ sinh thái mã nguồn mở đã làm gia tăng nguy cơ tấn công chuỗi cung ứng phần mềm, đặc biệt trên nền tảng NPM. Gần đây, các nhà nghiên cứu bảo mật từ Koi Security và Endor Labs đã phát hiện sự quay trở lại của chiến dịch malware PhantomRaven thông qua hàng chục package độc hại nhằm đánh cắp thông tin nhạy cảm từ môi trường phát triển phần mềm. Nghiên cứu góp phần làm rõ xu hướng tấn công mới trong hệ sinh thái phần mềm và đề xuất các biện pháp như: kiểm soát chặt chẽ dependency, tăng cường giám sát bảo mật và nâng cao nhận thức người dùng nhằm giảm thiểu rủi ro an ninh.

Chiến dịch tấn công chuỗi cung ứng GlassWorm đã quay trở lại với một cuộc tấn công phối hợp mới, nhắm vào hàng trăm gói, kho lưu trữ và tiện ích mở rộng trên GitHub, NPM, VSCode và OpenVSX.

Loại worm máy tính tự nhân bản Shai-Hulud 2.0 từng xuất hiện trên hệ thống đăng ký NPM vào cuối tháng 11/2025, chính là nguyên nhân gây ra vụ đánh cắp 8,5 triệu USD từ ví tiền điện tử Trust Wallet gần đây.

Làn sóng thứ tư của chiến dịch GlassWorm đang nhắm mục tiêu vào các nhà phát triển macOS bằng các tiện ích mở rộng VSCode/OpenVSX độc hại, phát tán các phiên bản bị lây nhiễm mã độc của các ứng dụng ví tiền điện tử.

Một gói phần mềm độc hại trong kho lưu trữ Node Package Manager (NPM) giả mạo là thư viện WhatsApp Web API hợp pháp, nhằm đánh cắp tin nhắn WhatsApp, thu thập danh bạ và giành quyền truy cập vào tài khoản.