Bezpečnostní tým OX Security identifikoval shluk 101 škodlivých balíčků v registru npm, které slouží ke kampani nazvané PhantomSub. Balíčky zneužívají open source projekt Baileys, knihovnu pro komunikaci s WhatsAppem, a bez vědomí a souhlasu vývojáře přidávají jeho účet do skupin na WhatsAppu. Celkem byly podle výzkumníků staženy zhruba 490 000krát, z toho 116 000krát za posledních 30 dní.

Balíčky se tváří jako varianty legitimní knihovny Baileys a mají názvy, které se jí podobají, například ourin-baileys, @nexustechpro/baileys, levvleys, neuralwhatsapp nebo cloud-baileys. Vývojář, který takový balíček nainstaluje při tvorbě bota nebo jiného nástroje pro WhatsApp, si tak do projektu přinese kód, který ve výsledku připojí jeho účet do cizích skupin. Podle popisu výzkumníků jde o umělé zvyšování počtu členů skupin, jejichž provozovatelé prodávají například herní účty, boty nebo skripty.

Výzkumníci Nir Zadok, Moshe Siman Tov Bustan a Vitalii Chepurko rozlišili tři varianty škodlivého kódu. V první variantě, tvořené 19 balíčky, se identifikátory kanálů načítají za běhu z GitHubu, takže operátoři mohou cíle měnit bez úpravy balíčku. Druhá varianta, nejpočetnější s 60 balíčky, má identifikátory vložené v otevřeném textu. Třetí, se 14 balíčky, je zakóduje a obfuskuje. Mezi zjištěnými skupinami byly například kanály s 798, 1 000, 1 300 a 4 800 sledujícími. Většina z nich souvisí s prodejem botů, herních účtů a skriptů a má převážně indonéské vazby.