Un nuovo attacco alla catena di fornitura del software colpisce l'ecosistema JavaScript. Oltre trenta pacchetti pubblicati nello spazio dei nomi @redhat-cloud-services del registro npm sono stati compromessi e usati per distribuire una variante inedita del malware ruba-credenziali noto come Shai-Hulud, soprannominata in questa occasione Miasma.

Come funziona l'attacco

I pacchetti npm sono le librerie di codice che gli sviluppatori installano automaticamente nei propri progetti. Quando un pacchetto legittimo e molto utilizzato viene compromesso, il codice malevolo si propaga in modo silenzioso a tutti i progetti che lo includono come dipendenza: e il principio dell'attacco alla supply chain, ormai tra le tecniche più temute perché sfrutta la fiducia implicita nel codice di terze parti.

In questo caso il payload installato era progettato per cercare e sottrarre credenziali e token di accesso presenti nell'ambiente di sviluppo: chiavi API, token di autenticazione cloud, segreti dei sistemi di integrazione continua. Materiale che, una volta nelle mani degli attaccanti, apre la porta a compromissioni ben più estese delle infrastrutture aziendali.

Perché conta

Lo spazio dei nomi colpito appartiene a un fornitore enterprise di primo piano, segno che nemmeno i grandi vendor sono immuni. La compromissione di pacchetti pubblicati sotto un marchio autorevole aumenta drasticamente la probabilità che vengano installati senza sospetti.

Gli attacchi alla supply chain dell'open source sono in crescita costante: colpire un singolo punto a monte permette di raggiungere migliaia di vittime a valle con uno sforzo minimo.

Cosa fare

Per i team di sviluppo le contromisure prioritarie sono:

  • Verificare le versioni installate dei pacchetti coinvolti e rimuovere quelle compromesse, ripristinando versioni note come sicure.
  • Ruotare immediatamente tutte le credenziali e i token potenzialmente esposti negli ambienti che hanno installato i pacchetti.
  • Abilitare il blocco delle versioni (lockfile) e l'analisi automatica delle dipendenze nelle pipeline CI/CD.
  • Limitare i permessi dei token usati in fase di build, applicando il principio del privilegio minimo.

L'episodio conferma quanto la sicurezza del codice di terze parti sia ormai parte integrante della superficie di attacco di qualsiasi organizzazione che sviluppa software.