Vulnerabilità · 98 giorni fa
Il punto debole non sono solo i nomi finti: uno dei pacchetti malevoli entra anche tramite una dipendenza reale e molto usata, quindi può raggiungere progetti che non lo hanno mai installato direttamente. In pratica, la normale risoluzione delle dipendenze npm diventa il punto di esposizione, e il raggio d’azione si allarga fino alle macchine di build e ai desktop degli sviluppatori Windows.
JFrog ha trovato tre pacchetti npm malevoli pubblicati nell’ultimo mese e ancora disponibili su npm: aes-decode-runner-pro, postcss-minify-selector e postcss-minify-selector-parser. I pacchetti imitano strumenti PostCSS, si agganciano a postcss-selector-parser e portano a un Windows RAT capace di rubare credenziali di Chrome, leggere dati dalle estensioni, eseguire comandi e trasferire file.
Il rischio non si ferma al singolo nome pacchetto. Per chi accetta dipendenze transitive da npm, basta una catena apparentemente legittima per importare il malware senza accorgersene, e la verifica delle sole dipendenze dirette non basta più.
2 fonti che coprono questa storia
Lookalike npm Package Hides a Multi-Stage Windows RAT
JFrog found an npm package impersonating postcss-selector-parser to drop a multi-stage Windows RAT
Malicious npm Packages Pose as PostCSS Tools to Deliver Windows RAT
JFrog found malicious npm packages that deploy a Windows RAT to steal Chrome credentials, run commands, and transfer files.
Part of the PlainSec briefing for 2026-06-24