CSIRT Italia / ACN
Di cosa si tratta
Rilevata una campagna su larga scala di compromissione della supply chain nell’ecosistema npm, denominata “Mini Shai-Hulud”. L’attacco sfrutta un malware di tipo worm per infiltrarsi negli ambienti di sviluppo e nelle pipeline di Continuous Integration/Continuous Deployment (CI/CD). L’obiettivo primario è l’esfiltrazione di credenziali sensibili e la successiva propagazione automatizzata attraverso la pubblicazione di versioni malevole di pacchetti legittimi. Tra i soggetti colpiti figurano framework ad ampia diffusione come TanStack e SDK ufficiali di Mistral AI.
Descrizione e potenziali impatti
La minaccia si articola attraverso una sequenza di operazioni automatizzate volte a massimizzare la persistenza e la diffusione:
Il malware viene introdotto come dipendenza (spesso dichiarata come optionalDependency) in pacchetti npm compromessi. In fase di installazione, sfrutta lo script prepare della dipendenza Git per avviare il malware e quindi eseguire codice arbitrario.
Una volta eseguito in un ambiente dotato di privilegi di pubblicazione (es. GitHub Actions con Trusted Publishing/OIDC), il malware ricerca ed esfiltra i token di autenticazione e i segreti d’ambiente (.env, chiavi AWS/Azure, credenziali Kubernetes). Successivamente tenta di utilizzare tali asset per iniettare codice malevolo in altri progetti gestiti dall’utente o dall’organizzazione, pubblicando nuove versioni infette senza intervento umano.
L’impiego di optionalDependencies che puntano a dipendenze Git esterne permette di eludere parzialmente i controlli di integrità basati sui registri ufficiali. L’esecuzione si conclude con un errore fittizio (&& exit 1) che, essendo associato a dipendenze opzionali, non interrompe il processo di build principale agendo in modo silente.
Cosa fare
Si raccomanda di consultare l’alert originale per le indicazioni operative dettagliate, verificare se i propri sistemi sono interessati e applicare le eventuali patch o mitigazioni indicate.
Fonte
Alert originale: Supply Chain Attack: rilevata nuova ondata di compromissione pacchetti NPM (CSIRT Italia / ACN).
Questo articolo riprende e commenta una pubblicazione di CSIRT Italia / ACN. Per informazioni complete e aggiornamenti, fare riferimento alla fonte originale.