Un import trasforma un pacchetto npm in backdoor Linux
Trend Micro ha trovato 14 pacchetti npm trojanizzati che, all'import, avviano RedC2 4.0 su Linux e aprono una via di accesso persistente. Il dato rilevante non è solo che i pacchetti siano malevoli: è che possono sembrare funzionanti e restare comunque un vettore di compromissione.
Il modulo nascosto si carica da solo, rende eseguibile il binario incluso e lo lancia in background. Non serve richiamare una funzione speciale né passare da un installer: un solo import nella catena delle dipendenze basta a far partire il payload, anche se arriva per via transitiva. Il risultato è shell access, furto di credenziali e tasking remoto attraverso l'infrastruttura C2 dell'attaccante.
Per chi usa npm in build, test o runtime, il modello di fiducia cambia: una dipendenza apparentemente ordinaria può diventare esecuzione di codice nativo su host di sviluppo e server Linux. La stessa superficie che serve a riusare librerie può quindi consegnare persistenza e controllo remoto senza rompere la funzionalità visibile del pacchetto.