Onderzoekers hebben een fake Web3 accelerator gespot die zich voordoet als een investerings- en ontwikkelprogramma voor crypto-startups. In werkelijkheid gebruikt de campagne kwaadwillige npm-pakketten om Windows- en macOS-systemen te infecteren met informatie-stealers, achterdeuren én om AI-agentverkeer te beïnvloeden.
De opzet is opvallend: pakketten bieden “gratis AI-credits” voor bekende modellen, inclusief zogenaamd AI-advies en beveiligingsscans. Beide beloften blijken loos. In plaats daarvan draait de malafide software op om data te verzamelen, die vervolgens wordt doorgestuurd—en om tegelijk zicht te krijgen op prompts en tooloutputs van agenten.
Wat is de fake Web3 accelerator precies?
De campagne wordt in de analyses gekoppeld aan een Web3 venture capital accelerator die zich presenteert als Apex Accelerator. De operatie staat bekend onder de trackingnaam REF8801. De doelwitten lijken vooral founders en ontwikkelaars van crypto-gerelateerde tools—met name partijen die wallets, marktintelligentie of vergelijkbare toepassingen bouwen.
De “legitimiteit” probeert de groep te versterken door aanwezigheid op bekende evenementen zoals TOKEN2049 en door contact te leggen met ontwikkelaars op platforms waar crypto-aanbieders elkaar bereiken. Dat maakt de verleiding groter om tools uit de community te vertrouwen, zelfs wanneer het aanbod te mooi klinkt.
Hoe verspreidt de campagne malware via npm?
De aanvallers publiceren npm-pakketten die zowel op Windows als macOS “werken”. Twee namen staan centraal in de waarnemingen:
- @apexacc/cli (Apex Copilot CLI) — gepresenteerd als “AI advisor for Web3 founders”.
- @apexacc/audit (Web3 Security Scanner) — gepresenteerd als een MCP-server met “18 tools” voor security audits en DYOR.
Beide pakketten zouden bereikbaar zijn via npm en via gekoppelde GitHub-repositories, maar die zijn inmiddels niet meer toegankelijk. Wel zijn er artefacten en gedragingen vastgelegd tijdens de periode dat de pakketten actief waren.
Na installatie draait de echte keten: de software levert niet wat is beloofd. De audit-tools genereren fabricated findings en de “scoring test” van de CLI beoordeelt projecten op basis van een niet-ondersteunde, fictieve beoordeling.
Waarom is dit extra gevaarlijk voor AI-agenten?
De impact gaat verder dan klassieke infostealers. De packages kunnen ook LLM- en agentverkeer onderscheppen en herrouteren. Concreet kan de malware een aan hun controle gekoppelde MCP-server registreren in de agentconfiguratie.
Daardoor kan de aanvaller de prompts, gesprekscontext, codefragmenten en tooloutputs zien die in verzoeken aan het grote taalmodel worden meegestuurd. Daarnaast kan de aanvaller instructies en toolbeschrijvingen teruggeven die vervolgens in de prompts van de agent terechtkomen. Het effect: niet alleen observatie, maar ook sturing van wat de agent daarna gaat doen.
Windows-infectieketen: van scripts tot data-exfiltratie
Op Windows start de keten met het ophalen van een Base64-gecodeerde PowerShell-opdracht. Die gaat vervolgens naar een endpoint om een tweede script op te halen, waarna een Windows-executabeel wordt gedownload en in een verborgen context wordt gestart.
Daarna volgt een reeks stappen die draaien om laden, rechten en stealth. Er wordt onder meer geprobeerd om privileges op te schalen via UAC-bypass met een methode die bekendstaat uit de UACME-omgeving (in de beschrijving aangeduid met u cmDebugObjectMethod()). Vervolgens wordt een PyInstaller-achtige loader ingezet, en daarna komt de volgende fase.
In de latere stap richt de malware zich op het bemoeilijken van detectie door controlemechanismen te beïnvloeden: er wordt verwezen naar het patchen van AMSI (Antimalware Scan Interface) en ETW (Event Tracing for Windows), plus het unhooken van ntdll.dll om beveiligingssoftware te ontwijken. Daarna wordt shellcode geladen in het eigen geheugen.
De kernfunctie is diefstal: de stealer verzamelt onder andere systeemmetadata, actieve processen, clipboardtekst, Wi-Fi profielnamen, screenshots en data uit wallets, browserextensies, messengers, FTP- en remote-accessapplicaties, VPN-clients, populaire browsers (Chrome, Edge, Firefox en Yandex) en gameclients. Ook worden—waar mogelijk—bepaalde beschermingsmechanismen rond browsergegevens omzeild om onder meer wachtwoorden en sessie-informatie te verkrijgen.
De exfiltratie vindt plaats via Telegram met verzamelde gegevens.
macOS-infectieketen: passwordprompt en CloudSyncD
Op macOS verloopt de keten anders, maar met hetzelfde einddoel: een backdoor en informatieverzameling. De malware downloadt een remote bash-script en voert het uit. Dat script downloadt vervolgens een GZIP-gecomprimeerd archief, slaat het op als een tar.gz en pakt het uit.
In dat archief zit een dropper voor CloudSyncD. De dropper richt zich op het omzeilen van systeembeperkingen via een nep-achtige authenticatiecontext: er wordt een fake authorization prompt gebruikt om het systeemloginwachtwoord te phishen. Met dat wachtwoord wordt daarna een embedded payload met sudo-rechten gestart.
De backdoor doet host discovery, verzamelt hardware- en besturingssysteemdetails en communiceert vervolgens met een externe server om data door te geven en vervolgopdrachten te ontvangen.
CloudSyncD was eerder al besproken door Jamf Threat Labs, met in die beschrijving een propagatie via een valse Zoom-installatie. Volgens de observaties is CloudSyncD ook in het wild gedetecteerd.
Misleidende “AI-credits” en nepbeveiligingsscans
Waarom zouden slachtoffers dit installeren? De npm-pakketten worden aangeprezen met marketingboodschappen die aansluiten op actuele AI-hype. Voor de CLI claimt men dat er AI-advies is op basis van Claude en Gemini. Voor de audit-tool wordt gesteld dat er beveiligingsscans mogelijk zijn met een set van tools voor tokens, wallets en smart contracts.
Maar beide onderdelen leveren niet de verwachte waarde. In plaats daarvan worden:
- valse of “fabricated” auditresultaten gegenereerd;
- scoretests uitgevoerd die uitkomen op een niet-onderbouwde beoordeling van een niet-bestaand project;
- de echte payloads (backdoor/stealer) gedownload en uitgevoerd.
In analyses is bovendien zichtbaar dat de malware een specifieke verificatieroute gebruikt via HTTP POST verzoeken waarbij Windows of macOS varianten worden opgestart vanuit een aanvaller-gestuurde endpoint.
Signalen dat het op jouw omgeving kan spelen
Als je in een ontwikkelteam werkt met npm-scripts, CI/CD of AI-agent tooling, zijn er praktische aanwijzingen om op te letten. Zonder te speculeren over jouw specifieke situatie kun je wel gericht controleren op:
- Onverwachte installatie van npm-pakketten die je niet zelf hebt geselecteerd;
- Scriptketens die direct na installatie download- en executiestappen starten (bijvoorbeeld PowerShell/bash gevolgd door “hidden” execution);
- Wijzigingen in agentconfiguraties waardoor een MCP-server van een externe partij is toegevoegd;
- Procesgedrag dat past bij AMSI/ETW-aanpassingen of anti-VM-checks;
- Netwerkverkeer naar ongebruikelijke domeinen die in je omgeving niet eerder voorkwamen.
Omdat in de bronbeschrijving ook domeinen en externe servers worden genoemd in de infectieketens, is het zinvol om je EDR/telemetrie te laten aansluiten op bekende IOC-patronen uit je eigen threat intel proces.
Wat kun je nu doen (praktische aanpak)
Wil je risico’s beperken rond dit soort fake Web3 accelerator-campagnes? Pak het in lagen aan: supply chain, endpoint en AI-agent tooling.
1) Supply chain hygiëne aanscherpen
Controleer welke npm-dependencies daadwerkelijk zijn geïnstalleerd in projecten en bouwpijplijnen. Gebruik daarbij lockfiles en zorg dat alleen goedgekeurde registries of pakketbronnen zijn toegestaan. Kijk extra kritisch naar pakketten die beloven “AI credits”, “copilots” of “security scanners” die je niet inhoudelijk nodig hebt.
2) Endpoint detection en logging op orde
Zorg dat EDR/endpoint logging voldoende detail heeft voor procesketens (parent/child), scriptuitvoering (PowerShell/bash) en merkbare stealth-gedragingen. Als je teams met macOS en Windows draaien, behandel beide platformen als gelijkwaardige doelwitten.
3) AI-agent verkeer beveiligen en controleren
Omdat de campagne agentconfiguraties kan aanpassen via MCP, moet je ook letten op waar een agent zijn tool- en serverdefinities vandaan haalt. Laat logs bijhouden van model calls, tool invocations en changes in agentconfig. Alleen dan merk je tijdig dat prompts en tooloutput onbedoeld worden doorgegeven aan een aanvaller.
Vergelijkbare waarschuwingen en context
Dit soort supply chain aanvallen en misleiding richting ontwikkelaars past in een bredere trend waarin kwaadaardige code zich verstopt in “handige” tooling. Als je meer wilt lezen over hoe aanvallers legitieme softwarepaden misbruiken, is ook de analyse over PeerStitch via Fortinet pad-traversal relevant. En voor de AI-component—waar aanvallen zich richten op agentgedrag en autorisatie—kan de achtergrond bij AI-modellen die autorisatie omzeilen helpen om de bredere dreiging beter te begrijpen.
Conclusie
De waarnemingen rond deze fake Web3 accelerator laten zien hoe snel supply chain dreiging kan samenkomen met AI-hijacking. Met ogenschijnlijk onschuldige npm-pakketten worden Windows- en macOS-slachtoffers ingezet voor infostealers en backdoors, terwijl tegelijk het AI-agentverkeer kan worden onderschept via een door de aanvaller beheerde MCP-server.
Wie ontwikkelt of AI-agenten inzet in Web3-omgevingen doet er verstandig aan om zowel npm-dependencies als agentconfiguraties en endpointgedrag structureel te controleren. Alleen zo voorkom je dat “credits, audits en advies” veranderen in een aanval op je systemen én je digitale beslissingsketen.
Bron: https://thehackernews.com/2026/10/fake-web3-accelerator-uses-npm-packages.html
