SDK falsi per pagamenti rubano segreti riutilizzabili
Il problema non è il semplice typosquatting: questi pacchetti si presentano come SDK di pagamento credibili per far scorrere segreti veri fuori dalla base di codice e dalle macchine di build. Il danno non resta nel package manager; una volta letti token e API key dall’ambiente, possono essere riusati contro integrazioni di pagamento e cloud anche dopo la rimozione del pacchetto.
Socket segnala 17 pacchetti malevoli pubblicati quasi in parallelo su npm e PyPI, con nomi che imitano Paysafe, Skrill e Neteller. Su npm, più pacchetti hanno già distribuito versioni malevole 1.0.0–1.0.3; il finto client restituisce risposte normali per non destare sospetti, poi esfiltra credenziali verso AWS.
Per i team che installano dipendenze terze in build e CI, la soglia da monitorare non è solo la presenza del pacchetto: è il fatto che i segreti usati in quell’ambiente possono essere già usciti e restare validi altrove. Se una workstation o un runner ha caricato uno di questi SDK, le credenziali vanno trattate come compromesse.
Fake Paysafe, Skrill SDKs on NPM and PyPi steal credentials
Malicious packages on the Node Package Manager (npm) and the Python Package Index (PyPI) delivered stealer malware to developers and users of Paysafe, Skrill, and Neteller payment applications.