I package npm fidati usano Ethereum come dead-drop
La fiducia nel nome del package non basta più: in questa campagna il codice malevolo recupera gli indirizzi del proprio C2 da Ethereum, così il blocco dei domini e la rimozione del package non chiudono davvero il canale. Tre dei sei package scoperti erano nomi legittimi già noti agli sviluppatori, poi dirottati e riempiti con un loader appeso al codice esistente.
Sonatype ha trovato sei package npm che interrogano un wallet Ethereum controllato dall’attaccante per leggere da una transazione gli indirizzi del server di comando. Il meccanismo è semplice e resistente: il malware legge dati pubblici sulla blockchain, ricava da lì dove chiamare casa e può cambiare infrastruttura senza toccare di nuovo il package; se il package è stato hijackato, la consegna passa anche da un nome che sembra affidabile.
Per chi pubblica o consuma dipendenze npm, il punto è che il controllo del registry e il takedown del singolo server non bastano a dare un contenimento pulito. Finché il package resta credibile e la sua infrastruttura viene risolta da una fonte esterna come la blockchain, la verifica deve guardare sia al contenuto al momento dell’installazione sia a ciò che il codice cerca di recuperare a runtime.