// publisher 캠페인 · npm

dewifewi

npm의 dewifewi 계정이 publish한 catch 패키지 전체와, registry가 현재 노출하는 author·maintainer 정보. 같은 이메일이나 이름이 여러 패키지에 걸쳐 등장하면, 한 명이 여러 throwaway 계정을 운영한다는 강한 증거입니다.

npmjs.com publisher

패키지

고유 이름 수

탐지 이벤트

버전 × 이름

blast

—

주간 다운로드 합계

활동 기간

2026-05-19 → 2026-05-20

최초 → 최근 탐지

// publisher OSINT

이 계정 자체에 대한 시그널. 활동 기간이 짧으면 throwaway 가능성이 큽니다. 이메일 도메인을 보면 단발 webmail인지 진짜 조직 메일인지 한눈에 갈리고, 같은 핸들이 여러 registry에 있으면 같은 운영자라고 볼 강한 근거가 됩니다. GitHub 링크가 잡히면 실명 식별까지 곧장 이어집니다.

npm 활동

이 에코시스템에서는 사용할 수 없습니다 (registry search 미지원).

다른 registry의 같은 핸들

npm /~dewifewi: 없음
pypi /user/dewifewi: 존재함 ↗
github.com/dewifewi: 없음

// exfil path

what is read → where it ships

steals

○ home dir
○ system info

sends to

⇢ lszakfghwnvxspyfcmaabd1css99rnq3w.oast.fun(oast.fun)
⚙ dns tunneling(fetches + executes remote payload)

// 공유 유출 인프라

캠페인 내 여러 패키지가 같은 webhook URL이나 같은 public IP로 보내는 경우. 공유 백엔드를 쓴다는 거의 결정적 신호입니다.

shared webhook URLs (1)

lszakfghwnvxspyfcmaabd1css99rnq3w.oast.fun(5 pkgs: claude-internal-utils, anthropic-shared-logger, private-next-pages, did-0091, stripe-internal-utils)

// 패턴 풋프린트

캠페인 전반에서 어떤 정적 분석 플래그가 얼마나 자주 매칭됐는지. "이 캠페인이 결국 어떤 종류의 stealer인가"에 대한 요약 답.

// 이 캠페인의 패키지

고유 이름 5개 · 최신순

dewifewi

// publisher OSINT

// exfil path

// 공유 유출 인프라

// 패턴 풋프린트

// 이 캠페인의 패키지

claude-internal-utils@9.0.5

anthropic-shared-logger@8.0.5

private-next-pages@9.0.5

did-00917 versions·11.0.5→11.2.8

stripe-internal-utils2 versions·1.0.0→8.2.0