È stato osservato un nuovo attacco attivo alla supply-chain di npm che abusa di credenziali di manutentori compromesse per auto-propagare codice dannoso tra i pacchetti dell'ecosistema Node.js. Il malware ruba il materiale di autenticazione (token npm, credenziali cloud, segreti CI/CD, chiavi SSH e dati del portafoglio) e utilizza i token di pubblicazione scoperti per iniettarsi in altri pacchetti di proprietà dello stesso manutentore, creando una diffusione laterale simile a un worm.
La campagna è stata identificata da Socket e StepSecurity e colpisce diversi pacchetti pubblicati da Namastex Labs, con almeno 16 pacchetti compromessi confermati al momento della segnalazione. A causa del suo modello di propagazione guidato dalle credenziali, il raggio d'azione può espandersi rapidamente in ambienti in cui gli sviluppatori o i sistemi CI mantengono i permessi di pubblicazione.
Il codice dannoso è stato iniettato in pacchetti npm legittimi e viene eseguito automaticamente quando il pacchetto viene installato. Una volta in esecuzione, il payload esegue un'ampia scoperta segreta sul sistema host, effettuando la scansione di:
Se il malware individua credenziali di pubblicazione npm valide (ad esempio, tramite variabili d'ambiente o ~/.npmrc), esso:
I ricercatori descrivono esplicitamente il malware come un "worm della catena di distribuzione" in grado di diffondersi autonomamente senza ulteriori interventi da parte degli aggressori una volta ottenute le credenziali.
Se le credenziali PyPI vengono scoperte sullo stesso sistema, il malware tenta di compromettere i pacchetti Python utilizzando un meccanismo di persistenza basato su .pth. Questo espande l'attacco al di là di JavaScript, rendendolo una minaccia alla catena di approvvigionamento multiecosistema.
Al momento della pubblicazione, i seguenti pacchetti e versioni sono stati confermati come dannosi e devono essere considerati completamente compromessi:
Questi pacchetti sono comunemente utilizzati negli strumenti per gli agenti di intelligenza artificiale e nei servizi di dati backend, aumentando il valore degli ambienti compromessi.
Le organizzazioni dovrebbero indagare su:
La rapida cadenza di ripubblicazione (più versioni dannose rilasciate nell'arco di poche ore) è un indicatore comportamentale degno di nota in questa campagna.
Se siete preoccupati per una qualsiasi delle minacce descritte in questo bollettino o avete bisogno di aiuto per determinare le misure da adottare per proteggervi dalle minacce più importanti per la vostra organizzazione, contattate il vostro account manager o, in alternativa, contattateciper scoprire come potete proteggere la vostra organizzazione.