Malware · 3 giorni fa
Il 9 novembre 2026, Socket ha documentato come l’automazione di rilascio compromessa di Ethersphere abbia distribuito lo stesso loader in @ethersphere/bee-js 13.3.0 su npm e in Swarm Desktop 0.56.2 su GitHub. La compromissione ha raggiunto due canali distinti, non solo gli utenti npm.
Il pacchetto è stato pubblicato tramite il flusso legittimo di trusted publishing, con provenance SLSA valida; le build desktop erano firmate e notarizzate. In entrambi i casi, però, era stata alterata la pipeline che produceva il software: le verifiche attestavano l’origine ufficiale, non l’integrità del processo di rilascio. Swarm Desktop ha inoltre distribuito la versione compromessa tramite il proprio aggiornamento automatico.
Socket collega queste release alla stessa infrastruttura di comando e controllo già associata a SleepyDuck. Per chi si affida a firme e provenance, il caso mostra che la fiducia nell’origine non basta quando è compromessa l’automazione che crea e distribuisce il software.
1 fonte che coprono questa storia
Malicious bee-js npm Release and Swarm Desktop Releases Deliver SleepyDuck Ethereum C2 Backdoor
Compromised maintainer accounts pushed malicious @ethersphere/bee-js 13.3.0 and Swarm Desktop 0.56.2, reusing SleepyDuck’s Ethereum-addressed C2 infrastructure.
Part of the PlainSec briefing for 2026-11-10