Una singola vulnerabilità, un unico pacchetto dannoso nascosto tra milioni, può compromettere la sicurezza di innumerevoli applicazioni, mettendo a repentaglio sia le attività aziendali che la privacy degli utenti. È in questo scenario precario che il nostro team di Xygeni ha intrapreso un'operazione di sicurezza, rivelando una cruda realtà che molti temevano ma pochi potevano confermare: la presenza di pacchetti npm dannosi all'interno della struttura portante del nostro ecosistema digitale.
Dal 13 al 15 gennaio 2024, la nostra scansione proprietaria per il rilevamento di codice dannoso ha squarciato il velo della normalità, scoprendo non uno, ma ben dieci pacchetti npm insidiosi. Non si trattava di atti illeciti casuali, bensì di vere e proprie campagne, ciascuna studiata per sottrarre dati sensibili e diffonderli negli angoli più oscuri di Internet. Questa rivelazione non è solo un campanello d'allarme, ma un invito all'azione per tutti i soggetti coinvolti nel processo di sviluppo software.
All'epoca, quel volume era ancora notevole. Nel 2026, non lo è più. Edizioni recenti del nostro Digest del codice dannoso Confermando che settimanalmente vengono rilevati oltre 100-200 pacchetti dannosi solo su npm e PyPI, nello stesso arco di tre giorni oggi ne emergerebbero molti di più. Le tecniche di esfiltrazione ed elusione documentate di seguito non sono scomparse; si sono semplicemente industrializzate su una scala che nessuno aveva previsto all'inizio del 2024.
In qualità di pionieri nella sicurezza informatica, l'esclusivo punto di vista di Xygeni ci consente non solo di rilevare queste minacce ma anche di comprenderne profondamente le implicazioni. Questo rapporto è una testimonianza della nostra commitmento alla salvaguardia della frontiera digitale del rilevamento di prove dannose nel codice per evitare la conversione in attacchi futuri.
Unisciti a noi mentre approfondiamo gli intricati dettagli di queste campagne, svelando i metodi degli aggressori e, soprattutto, facendo luce su come le aziende possono rafforzare le proprie difese contro minacce così insidiose.
Scoperta iniziale: violazione di Aurora Webmail Pro
La scoperta iniziale nella nostra indagine è stata il pacchetto denominato aurora-webmail-pro, che è stato caricato nel registro NPM da un utente con l'alias 0x379c. Questa scoperta è stata presto seguita dall'identificazione di altri quattro pacchetti, tutti caricati dallo stesso autore prima che le loro attività venissero bloccate dalle misure di sicurezza del registro.
Questi pacchetti inclusi blog_2021@1.1.1, portafogliocalore@10.1.1, nuovaprenotazione@1.1.1e peco@1.0.1. Dopo un esame, si è scoperto che ogni pacchetto conteneva un codice dannoso sorprendentemente simile volto a esfiltrare informazioni sensibili dell'utente.
Il programma recupera informazioni di sistema sensibili relative all'utente e al sistema e crea un hexdump con tali dati. Quindi i dati vengono iterati e per ogni blocco viene effettuata una richiesta GET a un sito esterno, dove il percorso a cui si accede è ciascuno dei blocchi costruiti.
Presentazione secondaria: diverse tattiche nella diffusione di codice dannoso
Contemporaneamente alla scoperta del batch iniziale, la nostra indagine ha rivelato quattro pacchetti NPM aggiuntivi, distribuiti nel registro da tre utenti distinti.
Questi pacchetti, elencati come chiunque-deps@1.0.0, shoponline.epiroc.com@1.0.1, shoponline.epiroc.com@1.0.2e synology-cft@10.0.0, condividevano un filo conduttore comune nella loro base di codice: ciascuno era progettato per sottrarre le informazioni dell'utente. In particolare, il metodo utilizzato per l’esfiltrazione dei dati in questi casi differiva da quello del primo gruppo, suggerendo una campagna separata, sebbene ugualmente nefasta.
La strategia di questa seconda campagna prevedeva un approccio più diretto alla raccolta di dati sensibili. Dopo l'attivazione, il codice dannoso contenuto in questi pacchetti ha intrapreso un'approfondita missione di ricognizione, estraendo informazioni dettagliate sulla configurazione del sistema dell'utente, sui dati personali dell'utente e, in particolare, sull'indirizzo IP del sistema. Questa raccolta completa di dati mirava a compilare un dossier completo sulla vittima, ponendo le basi per intrusioni potenzialmente più profonde o attacchi mirati.
È fondamentale sottolineare che, nonostante la possibilità che questi pacchetti si mascherino come parte di legittime attività di ricerca sulla sicurezza, come quelle volte a esporre le vulnerabilità attraverso tattiche di confusione delle dipendenze, la realtà rimane invariata. Questi pacchetti potrebbero essere progettati con intenti dannosi, raccogliendo e trasmettendo segretamente dati sensibili a entità esterne non autorizzate
Avviso speciale: l'anomalia di djs13-fetcher e le sue implicazioni per la sicurezza informatica
Durante l'esame accurato dei pacchetti sopra menzionati, la nostra piattaforma ha segnalato un'ulteriore anomalia: un pacchetto denominato djs13-fetcher. Questa particolare scoperta diverge dai casi precedenti, non solo nel metodo di funzionamento ma anche nella natura della minaccia che rappresenta. djs13-fetcher è stato identificato come l'avvio di una sequenza di download ed esecuzione per un allegato da Discord, in particolare un file binario denominato astroia.exe. Dopo un esame più attento attraverso un servizio di analisi automatizzato, questo binario ha ottenuto un Punteggio di minaccia di 85/100, una classificazione che lo classifica inequivocabilmente come malware.
Il funzionamento di djs13-fetcher e la successiva esecuzione di astroia.exe evidenziano un vettore di minacce sofisticato e multiforme. Il file binario in questione è stato progettato per eseguire una serie di azioni indicative di intenti dannosi profondamente radicati:
- Processi del sistema di deposizione delle uova: Il malware avvia più processi di sistema al momento dell'esecuzione, una tecnica spesso utilizzata per eseguire ulteriori script dannosi o per stabilire un punto d'appoggio sul sistema infetto per ulteriori payload.
- Interrogazione delle informazioni di sistema: Esegue query estese sulle informazioni di sistema. Questa azione è tipicamente mirata a raccogliere informazioni sull'ambiente del sistema, che possono essere utilizzate per adattare gli attacchi successivi alle specifiche vulnerabilità del sistema.
- Esecuzione di manovre evasive: Forse la cosa più importante è che astroia.exe è stato progettato per eseguire query WMI (Strumentazione gestione Windows) per rilevare se è in esecuzione all'interno di una macchina virtuale (VM). Questo comportamento è una chiara azione evasiva, intesa a evitare il rilevamento e l'analisi da parte dei professionisti della sicurezza informatica e dei sistemi automatizzati che comunemente utilizzano le VM per l'analisi del malware.
Principali takeaways
La scoperta di questi 10 pacchetti npm dannosi, insieme al caso particolare di djs13-fetcher, è stata un primo segnale di uno schema che da allora si è esteso ben oltre quanto chiunque avesse previsto nel gennaio 2024.
Questa realtà ha sottolineato, già allora, il ruolo indispensabile di Servizio di allerta precoce di XygeniProgettato per analizzare e segnalare potenziali minacce nei nuovi pacchetti npm non appena vengono pubblicati, il nostro servizio ha rappresentato all'epoca un significativo passo avanti nelle difese proattive della sicurezza informatica, e la sua logica è diventata ancora più necessaria con l'aumento del volume. Offrendo un rilevamento precoce di segnali indicativi di attività dannosa, ben prima di standard procedure, consentiamo ai nostri clienti di proteggere i loro ecosistemi software da potenziali infiltrazioni di malware prima che possano causare danni. Questo tipo di rilevamento ora è continuo: consulta i risultati confermati di questa settimana nella nostra Digest del codice dannoso.
Le organizzazioni devono dare priorità all'implementazione di protocolli di sicurezza robusti, dalle verifiche periodiche del codice agli strumenti di rilevamento sofisticati, per proteggersi dalle tattiche sofisticate impiegate dagli avversari informatici. Xygeni, restiamo commitimpegnati a guidare la carica in questa battaglia in corso, dotando i nostri partner e la comunità più ampia delle conoscenze e degli strumenti necessari per respingere queste minacce insidiose.
FAQ
Nel 2026, i pacchetti npm dannosi rappresentano ancora un problema crescente?
Sì, in modo significativo. Questo post documentava 10 pacchetti npm dannosi trovati in tre giorni nel gennaio 2024. Il Malicious Code Digest di Xygeni ora conferma la presenza di oltre 100-200 pacchetti dannosi a settimana su npm e PyPI, a dimostrazione del fatto che le tattiche di esfiltrazione ed elusione identificate qui si sono moltiplicate drasticamente anziché scomparire.
Come posso verificare se un pacchetto npm è dannoso prima di installarlo?
Verifica la cronologia del manutentore, controlla le date di pubblicazione e il numero di download per individuare anomalie e utilizza la scansione automatizzata che segnala schemi di esfiltrazione e comportamenti elusivi, non solo le corrispondenze CVE note, poiché la maggior parte dei pacchetti dannosi, inclusi tutti e 10 qui trattati, erano nuovi al momento della scoperta.
Come posso verificare se un pacchetto npm è dannoso prima di installarlo?
Verifica la cronologia del manutentore, controlla le date di pubblicazione e il numero di download per individuare anomalie e utilizza la scansione automatizzata che segnala schemi di esfiltrazione e comportamenti elusivi, non solo le corrispondenze CVE note, poiché la maggior parte dei pacchetti dannosi come quelli descritti in questo rapporto erano nuovi al momento della scoperta.
Vengono ancora scoperti regolarmente nuovi pacchetti npm dannosi?
Sì. Di Xygeni Digest del codice dannoso pubblica ogni settimana nuovi pacchetti dannosi per npm e PyPI, la cui identità è stata confermata; le tecniche di esfiltrazione e di elusione delle macchine virtuali documentate in questo rapporto del 2024 rimangono comuni nei pacchetti scoperti ancora oggi.
