npm e unpkg diventano infrastruttura di phishing persistente
OX Security ha trovato 24 npm package usati per ospitare, via unpkg, pagine HTML che imitano il CAPTCHA di Cloudflare e reindirizzano verso siti controllati dall’attaccante. Il punto non è infettare chi scarica il package, ma usare registry e mirror come hosting fidato e difficile da rimuovere per una campagna di phishing.
La pagina falsa sembra una normale verifica. Proprio per questo riesce a spingere la vittima a compiere il passo successivo e poi la manda altrove, su una destinazione scelta dall’attaccante. Quando il contenuto passa da un dominio ovviamente malevolo a un mirror validato, il takedown del singolo sito non basta più.
Per chi blocca infrastrutture di phishing, il problema è il cambio di fiducia: il lure vive su un dominio legittimo e può restare raggiungibile anche dopo la rimozione dei domini più evidenti. Per chi usa npm e unpkg come canali di distribuzione o di fiducia, la superficie non è più solo il package, ma anche il contenuto web che quel package può servire.