Scoperta una nuova campagna di attacco alla supply chain che sfrutta transazioni Ethereum per occultare l'infrastruttura di comando e controllo (C2) di malware JavaScript.
Una recente indagine condotta dai ricercatori di Sonatype ha portato alla luce una sofisticata campagna di attacco alla supply chain che coinvolge l'ecosistema npm. Sei pacchetti JavaScript malevoli sono stati identificati mentre utilizzano una tecnica innovativa per recuperare i server di comando e controllo (C2): l'interrogazione della blockchain di Ethereum. Invece di affidarsi a domini statici o indirizzi IP hardcoded, facilmente individuabili dai sistemi di sicurezza, il malware estrae le coordinate dei server remoti direttamente dai dati di una transazione crittografica.
Il meccanismo di infezione è particolarmente resiliente. All'esecuzione, il loader malevolo interroga diversi provider di Remote Procedure Call (RPC) per recuperare i dettagli di una specifica transazione associata a un wallet controllato dall'attaccante. I byte contenuti nell'indirizzo del destinatario della transazione vengono decodificati per ottenere gli indirizzi IPv4 dei server C2.
Per garantire il successo dell'operazione, il malware implementa una logica di recupero ridondante: se un provider RPC non risponde, il sistema tenta di utilizzare l'API di Blockscout come fallback. Una volta risolto l'indirizzo del server, il malware scarica ulteriori stadi del payload, che possono essere eseguiti direttamente all'interno del processo Node.js corrente o come processo figlio separato. Questa metodologia, definita dagli esperti come NullReceiver, è stata precedentemente associata a campagne di spionaggio informatico attribuite al gruppo Lazarus, noto attore APT legato alla Corea del Nord.
La campagna si articola attraverso due vettori di attacco principali. Il primo riguarda il compromesso di account legittimi, utilizzato per iniettare codice malevolo in pacchetti esistenti e ampiamente utilizzati, come @kolbo/mcp, agentgui e godot-kit. In questi casi, il codice originale rimane intatto, rendendo il rilevamento estremamente complesso poiché il malware viene aggiunto in coda ai file esistenti, una tecnica già osservata nella campagna PolinRider.
Il secondo vettore consiste nella pubblicazione di nuovi pacchetti malevoli, come envpack-conf, postcss-initial-provider e tailwindcss-motion-advanced. Questi sono stati creati ad hoc per apparire come strumenti di utilità legittimi, nascondendo il loader all'interno di file minimizzati o configurazioni apparentemente innocue. L'uso di nomi che richiamano librerie popolari sfrutta la fiducia degli sviluppatori, rendendo questi pacchetti vettori di infezione particolarmente efficaci.
La capacità di questo malware di operare in modo furtivo, sfruttando la blockchain come canale di comunicazione anonimo, rappresenta un salto di qualità nelle tecniche di malware delivery. Le organizzazioni che utilizzano il repository npm sono invitate a eseguire una scansione immediata dei propri ambienti di sviluppo per verificare la presenza delle versioni compromesse.
Oltre alla rimozione dei pacchetti, è fondamentale condurre un'analisi forense per individuare eventuali esecuzioni di codice JavaScript sospetto o attività di rete anomale. La natura distribuita e decentralizzata del recupero dell'infrastruttura C2 rende inefficaci i tradizionali blocchi basati su DNS, richiedendo un approccio di difesa basato sull'analisi comportamentale del codice e sul monitoraggio rigoroso delle dipendenze di terze parti.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
