Apa yang terjadi
Terverifikasi melalui penelitian Elastic Security Labs yang dicakup oleh The Hacker News (dipublikasikan 2026-10-19): operasi Apex Accelerator (REF8801) menerbitkan paket npm yang menjatuhkan malware spesifik-platform dan secara aktif membajak lalu lintas permintaan model agen pengkodean AI ke infrastruktur penyerang; artefak termasuk pencuri Windows yang mengeksfiltrasi melalui Telegram dan backdoor macOS CloudSyncD. Operator juga menghadiri TOKEN2049 untuk menciptakan kredibilitas.
Mengapa penting
Menunjukkan pola serangan langsung dari mempersenjatai server MCP dan CLI 'penasihat AI' sebagai kendaraan pengiriman malware, dan mengalihkan lalu lintas agen AI — setara rantai pasokan dengan intersepsi permintaan model, mampu meracuni prompt/respons agen pengembang.
Vektor serangan
Rekayasa sosial ('accelerator' menawarkan investasi dan kredit AI) meyakinkan pengembang untuk menginstal paket npm; paket menjatuhkan backdoor macOS dan pencuri Windows (eksfiltrasi melalui Telegram) setelah bypass UAC, menambal AMSI/ETW, dan alat MCP 'audit' menghasilkan temuan palsu sementara permintaan model agen pengkodean yang digabungkan dikirim melalui layanan yang dikendalikan penyerang.
Sistem yang terdampak
Paket npm @apexacc/cli, @apexacc/audit (juga @apexfdn/apex, @copilot-mcp/apex, @apexfdn/copilot-mcp sebelumnya), domain apexaccs[.]org, apexfdn[.]xyz — kampanye dilacak sebagai REF8801 oleh Elastic Security Labs
Mitigasi
Hapus kedua paket segera; perlakukan lingkungan pemasangan sebagai terkompromi; audit untuk loader CloudSyncD ('com.apple.system.loader') dan artefak rantai infeksi yang dijelaskan; blokir apexaccs[.]org / apexfdn[.]xyz / 0auth-chromium[.]com; waspada terhadap 'accelerator' apa pun yang menuntut Anda menginstal peralatannya.