Tre pacchetti npm aprono un varco nella supply chain
Il punto debole non sono solo i nomi finti: uno dei pacchetti malevoli entra anche tramite una dipendenza reale e molto usata, quindi può raggiungere progetti che non lo hanno mai installato direttamente. In pratica, la normale risoluzione delle dipendenze npm diventa il punto di esposizione, e il raggio d’azione si allarga fino alle macchine di build e ai desktop degli sviluppatori Windows.
JFrog ha trovato tre pacchetti npm malevoli pubblicati nell’ultimo mese e ancora disponibili su npm: aes-decode-runner-pro, postcss-minify-selector e postcss-minify-selector-parser. I pacchetti imitano strumenti PostCSS, si agganciano a postcss-selector-parser e portano a un Windows RAT capace di rubare credenziali di Chrome, leggere dati dalle estensioni, eseguire comandi e trasferire file.
Il rischio non si ferma al singolo nome pacchetto. Per chi accetta dipendenze transitive da npm, basta una catena apparentemente legittima per importare il malware senza accorgersene, e la verifica delle sole dipendenze dirette non basta più.