Fake Web3 Accelerator Uses npm Packages to Spread Malware and Hijack AI Agent Traffic
The Hacker News · 19 oct, 12:06
Una operación de ciberdelincuentes suplanta a un acelerador Web3 (Apex Accelerator) para distribuir malware a través de paquetes npm maliciosos que prometen créditos gratis de IA (Claude y Gemini), herramientas de codificación y auditorías de seguridad. Los paquetes @apexacc/cli y @apexacc/audit entregan información stealers y backdoors para Windows y macOS, además de interceptar solicitudes de modelos de IA y generar reportes falsos de seguridad.
La campaña, rastreada como REF8801 desde al menos abril de 2026, se dirige a fundadores de startups de criptografía publicando paquetes npm bajo la identidad falsa de "apexaccelerator". Los investigadores de Elastic Security Labs hallaron que @apexacc/cli se anuncia como un asesor de IA potenciado por Claude Fable 5 y Gemini 2.5 Flash, mientras que @apexacc/audit pretende ser un servidor del Protocol de Contexto de Modelos (MCP) con 18 herramientas de seguridad para auditorías de contratos inteligentes.
El grupo también reempaquetó un agente de codificación legítimo para desviar solicitudes de modelos a través de servicios controlados por atacantes. Una vez instalados, los paquetes descargan un backdoor macOS llamado CloudSyncD y un stealer personalizado para Windows que exfiltra datos a través de Telegram. La cadena de infección en Windows incluye múltiples etapas: un comando PowerShell Base64 que descarga un ejecutable PyInstaller, que a su vez ejecuta un binario Golang que modifica AMSI, ETW y desenlaza ntdll.dll para evadir herramientas de seguridad. El stealer final recopila credenciales de navegadores, carteras, aplicaciones de mensajería y clientes VPN, con capacidad para romper las protecciones de cifrado vinculado a aplicaciones (ABE) de Chrome.
Puntos clave
- Paquetes npm @apexacc/cli y @apexacc/audit distribuyen backdoors y stealers para Windows y macOS
- La cadena de infección incluye evasión de UAC, modificación de AMSI/ETW y desenganches del sistema
- Los datos robados se exfiltran a través de Telegram desde navegadores, carteras y aplicaciones de mensajería
- El grupo se hace pasar por acelerador Web3 y participa en conferencias como TOKEN2049 para ganar credibilidad
- Campaña activa desde abril de 2026 con dominios apexaccs.org y apexfdn.xyz
Figuras de la fuente
