La rottura è nel punto in cui molti team si sentono al sicuro: il caricamento del modulo, non solo l’installazione. Se un ambiente CI, un container di build o un servizio importa questi package, il loader parte subito e `npm install --ignore-scripts` non basta a fermarlo.
Microsoft conferma che cinque versioni repubblicate in quattro package dell’area AsyncAPI hanno lo stesso loader iniettato: @asyncapi/specs 6.11.2 e 6.11.2-alpha.1, @asyncapi/generator 3.3.1, @asyncapi/generator-components 0.7.1 e @asyncapi/generator-helpers 1.1.1. Le fonti indicano impatto su workstation di sviluppo, pipeline CI/CD, build di container e servizi in produzione che abbiano risolto e importato quelle versioni; il secondo stadio scarica e avvia un runtime Miasma con C2 e persistenza.
Il rischio resta più ampio del singolo package takedown: qualsiasi flusso che risolve dipendenze npm di terze parti a runtime può aver già eseguito il loader prima che la parte applicativa parta. In questa campagna, la difesa standard centrata sugli hook di installazione perde il trigger reale.