ChainDrop diventa un worm che si replica con token rubati
Il punto non è più la compromissione di un singolo maintainer. ChainDrop ora si autoalimenta: una volta rubati i token npm e GitHub, li riusa per firmare la prossima ondata di release malevole, così la risposta standard basata sulla sola revoca delle credenziali rischia di riattivare la propagazione invece di fermarla.
Le fonti confermano circa 2.200 release malevole su 440 pacchetti, con impatto su keyv, cacheable, flat-cache, file-entry-cache e cache-manager. Il veicolo è un preinstall hook che parte durante l’installazione normale, sottrae segreti e poi usa quegli stessi accessi per pubblicare nuovi pacchetti infetti; in scope ci sono installazioni npm, workspace aperti negli IDE e contesti CI/CD.
Per i team JavaScript che pubblicano o consumano pacchetti npm, il contenimento non coincide più con la pulizia di un repo o con il cambio di token. Se il malware ha già girato su workstation o runner, la catena di fiducia del publishing può restare compromessa e riaccendersi da un’altra copia del codice.