Minacce · 48 giorni fa
OX Security ha trovato 24 npm package usati per ospitare, via unpkg, pagine HTML che imitano il CAPTCHA di Cloudflare e reindirizzano verso siti controllati dall’attaccante. Il punto non è infettare chi scarica il package, ma usare registry e mirror come hosting fidato e difficile da rimuovere per una campagna di phishing.
La pagina falsa sembra una normale verifica. Proprio per questo riesce a spingere la vittima a compiere il passo successivo e poi la manda altrove, su una destinazione scelta dall’attaccante. Quando il contenuto passa da un dominio ovviamente malevolo a un mirror validato, il takedown del singolo sito non basta più.
Per chi blocca infrastrutture di phishing, il problema è il cambio di fiducia: il lure vive su un dominio legittimo e può restare raggiungibile anche dopo la rimozione dei domini più evidenti. Per chi usa npm e unpkg come canali di distribuzione o di fiducia, la superficie non è più solo il package, ma anche il contenuto web che quel package può servire.
2 fonti che coprono questa storia
Hackers abuse npm mirrors to host phishing redirect pages
Threat actors are abusing npm and its mirrors to host malicious HTML pages that impersonate Cloudflare CAPTCHAs to redirect visitors to attacker-controlled websites.
24 npm Packages Abuse unpkg Mirrors to Host Fake Cloudflare CAPTCHA Pages
A campaign uses 24 npm packages and unpkg mirrors to host fake Cloudflare CAPTCHA pages that can redirect users to attacker-chosen sites.
Part of the PlainSec briefing for 2026-08-26