Nhóm JINX-0164 đang nhắm vào các nhà phát triển crypto qua LinkedIn bằng những cuộc họp giả để cài malware trên macOS và chiếm quyền truy cập vào dữ liệu nhạy cảm.
Chiến dịch này đáng chú ý vì không chỉ đánh cắp mật khẩu hay khóa truy cập, mà còn can thiệp vào quy trình build và triển khai phần mềm, khiến chuỗi cung ứng phần mềm trở thành điểm rủi ro trực tiếp.
- JINX-0164 dùng hồ sơ LinkedIn giả để dụ nhà phát triển mở liên kết họp và nhiễm AUDIOFIX trên macOS.
- Nhóm này nhắm vào mật khẩu, SSH keys, cloud tokens và dữ liệu ví crypto, đồng thời xâm nhập cả repo và CI/CD.
- Wiz ghi nhận cả một vụ supply chain trên gói npm @velora-dex/sdk và liên hệ nhóm này với hoạt động từ ít nhất giữa năm 2025.
JINX-0164 là gì và cách tấn công diễn ra như thế nào?
JINX-0164 là một nhóm hacker được Wiz theo dõi với hoạt động nhắm vào nhà phát triển crypto bằng các cuộc liên hệ giả mạo trên LinkedIn. Cách tấn công phổ biến là mời nạn nhân tham gia một cuộc gọi rồi dẫn đến trang web giả mạo công cụ họp trực tuyến.
Khi người dùng bấm vào liên kết, malware AUDIOFIX được cài trên máy macOS. Phần mềm độc hại này hoạt động trên cả Intel lẫn Apple Silicon, tự duy trì sau khi khởi động lại và giả dạng thành thành phần âm thanh của hệ thống để che giấu hành vi.
AUDIOFIX đánh cắp những dữ liệu nào?
AUDIOFIX là malware tập trung vào việc lấy cắp thông tin đăng nhập và dữ liệu truy cập. Nó thu thập mật khẩu lưu trong macOS Keychain, thông tin đăng nhập trình duyệt, SSH keys, cloud access tokens của AWS, GCP và Azure, cùng dữ liệu ví crypto.
Wiz cũng ghi nhận các cuộc phishing trực tiếp để lấy mật khẩu và lưu chúng trong các tệp mã hóa. Điều này cho thấy mục tiêu không chỉ là xâm nhập một máy cá nhân mà còn là mở đường vào hạ tầng phát triển và các tài khoản có giá trị cao.
Chuỗi cung ứng phần mềm bị lợi dụng ra sao?
JINX-0164 không dừng ở việc cài malware trên thiết bị nạn nhân mà còn nhắm vào kho mã nguồn và quy trình CI/CD. Nhóm này đã dùng token GitHub bị đánh cắp để trích xuất bí mật từ pipeline bằng công cụ nguồn mở nord-stream, sau đó chèn AUDIOFIX vào repo nội bộ.
Trong một số trường hợp, kẻ tấn công giả mạo nhà phát triển hợp pháp bằng cách làm giả metadata của Git commit và đẩy mã độc lên nhánh chính hoặc chiếm quyền repo đang tồn tại. Khi các lập trình viên khác kéo mã và build lại, malware có thể lây nhiễm tự động qua chính quy trình phát triển.
Vụ trojan trên gói npm @velora-dex/sdk cho thấy gì?
Wiz xác nhận một vụ tấn công chuỗi cung ứng lên gói npm công khai @velora-dex/sdk, phiên bản 4.9.1, vào ngày 7/4/2026. Bản phát tán bị trojan hóa chứa một lệnh mã hóa base64 để tải và thực thi script từ xa, triển khai MINIRAT.
MINIRAT là một backdoor nhẹ viết bằng Go, tập trung vào khả năng duy trì hiện diện và nhận lệnh từ xa. Sự việc cho thấy các gói phần mềm phổ biến cũng có thể trở thành điểm phát tán mã độc nếu quy trình phát hành bị xâm nhập.
Những dấu hiệu và hạ tầng liên quan cần theo dõi
AUDIOFIX và MINIRAT chia sẻ các domain điều khiển như datahub[.]ink, cloud-sync[.]online và byte-io[.]us. Hoạt động của nhóm còn được che bằng Mullvad VPN, Astrill VPN và ExpressVPN để làm mờ dấu vết vị trí thật.
Wiz nhận thấy một số điểm tương đồng kỹ thuật với các cụm đe dọa UNC1069 và Sapphire Sleet, nhưng không tìm thấy trùng lặp hạ tầng trực tiếp. Vì vậy, JINX-0164 được xem là một tác nhân riêng, có động cơ tài chính.
Rủi ro đối với nhà phát triển crypto và AI
Những chiến dịch nhắm vào nhà phát triển crypto và AI thường không chỉ nhằm lấy tiền mà còn nhằm chiếm mã nguồn, token truy cập và bí mật hạ tầng. Vụ việc gần đây liên quan hơn 170 gói npm và PyPI, trong đó có cả thư viện Python chính thức của Mistral AI, cho thấy phạm vi rủi ro có thể lan rộng rất nhanh.
Trong trường hợp đó, kẻ tấn công đã lấy được GitHub tokens và cloud credentials của nhà phát triển crypto lẫn AI, đồng thời làm suy yếu mô hình tin cậy build integrity khi các gói độc hại vẫn mang chứng thực SLSA Build Level 3 hợp lệ.
Nhà phát triển nên chú ý điều gì?
Nhà phát triển nên kiểm tra các hành vi bất thường trong GitHub actions, commit không có chữ ký GPG đã xác minh, truy cập trái phép vào CI/CD và kết nối VPN lạ. Với những người đã tham gia cuộc họp được gửi qua LinkedIn, việc quét máy để tìm dấu hiệu nhiễm độc là cần thiết.
Với doanh nghiệp, trọng tâm là kiểm tra lại pipeline, quyền truy cập repo và cách bảo vệ token, khóa SSH và cloud credential. Khi hạ tầng phát triển bị lây nhiễm, chính quy trình nội bộ có thể trở thành kênh phát tán mã độc.
Tổng kết
JINX-0164 cho thấy một chiến dịch tấn công có chủ đích vào nhà phát triển crypto, kết hợp lừa đảo, malware macOS và xâm nhập chuỗi cung ứng phần mềm để lấy cắp dữ liệu và mở rộng quyền truy cập.
