La supply chain npm si nasconde nell’installazione
Il rischio non è il pacchetto falso in sé. È che il codice malevolo parte durante l’installazione e passa da una dipendenza di secondo livello, così una verifica rapida della registrazione o della base di codice vede un nome plausibile ma non il payload che ha già iniziato a rubare segreti. In una supply chain npm, la fiducia nel pacchetto e nei lifecycle script diventa il punto d’ingresso.
JFrog ha collegato sei package npm malevoli a una campagna legata alla Corea del Nord, tutti mascherati da tooling per Rollup e polyfill. I package usano nomi, metadati e forma credibili, install-time hooks e dipendenze staged per caricare altro codice da un servizio JSON remoto; quattro sono già stati rimossi dal registry, mentre il progetto legittimo preso a modello è rollup-plugin-polyfill-node.
Per chi installa package di terze parti in CI o sulle workstation degli sviluppatori, la conseguenza è chiara: la sola pulizia del registry non basta a escludere un’esfiltrazione già avvenuta. Le credenziali esposte da un install-time payload vanno considerate compromesse e ruotate, perché il danno avviene prima che il pacchetto malevolo venga notato o tolto.