Una recente compromissione della supply chain npm ha coinvolto il pacchetto jscrambler, trasformando una normale installazione in un vettore di infezione. La versione jscrambler 8.14.0 pubblicata su npm contiene un meccanismo che avvia un infostealer durante la fase di installazione, sfruttando uno script preinstall.
In pratica basta eseguire npm install per far partire il payload con gli stessi privilegi del processo di build o della pipeline CI/CD, un contesto spesso ricco di credenziali e token.
Dettagli dell’infezione e file introdotti
Il pacchetto malevolo introduce due file nella cartella dist.
- setup.js: funge da loader e seleziona un binario nativo in base al sistema operativo.
- intro.js: non è un vero file JavaScript, ma un contenitore di grandi dimensioni che include tre binari compressi per Windows, macOS e Linux.
Durante l’installazione il loader scrive il binario in una directory temporanea con un nome casuale, lo rende eseguibile e lo avvia in modo nascosto e scollegato, riducendo la visibilità per chi monitora i log.
Cosa ruba l’infostealer
Il malware è un infostealer sviluppato in Rust e punta in modo specifico agli ambienti di sviluppo. Tra i dati ricercati ci sono:
- Credenziali cloud per AWS, Azure e Google Cloud.
- Token CI usati da runner e pipeline.
- Password e cookie salvati nei browser.
- Sessioni applicative (Discord, Slack, Telegram, Steam).
- Dati crypto collegati a wallet e seed phrase.
- Segreti di strumenti AI/editor (API key e credenziali MCP), un obiettivo sempre più comune nei furti di segreti.
Capacità tecniche e infrastruttura
Sul piano tecnico emergono capacità avanzate:
- Linux: il binario può interagire con eBPF e potenzialmente caricare codice nel kernel.
- Windows e macOS: presenti controlli di anti-debugging e meccanismi di persistenza (task pianificati e LaunchAgent).
- Rete: osservati contatti verso indirizzi IP specifici e infrastrutture Tor, suggerendo una catena di comando e controllo più difficile da bloccare.
Rischio e mitigazione
Il rischio rimane elevato se lockfile o pin di versione continuano a richiamare le release compromesse. La mitigazione richiede:
- Rimozione delle versioni malevole.
- Aggiornamento a una versione considerata pulita.
- Verifica di eventuali esecuzioni in CI/CD.
- Rotazione immediata di tutte le credenziali potenzialmente accessibili durante l’installazione.