In questo articolo Indice dei contenuti 2 sezioni
Il registro npm si sta trasformando in un archivio gratuito per pagine di phishing, e la cosa curiosa è che nessuno deve installare niente perché l’attacco funzioni. Alcuni gruppi criminali hanno capito che caricare un semplice file HTML dentro un pacchetto npm significa ottenere, in pochi minuti, uno spazio web affidabile e ben visto dai sistemi di sicurezza. Il file finge di essere una verifica CAPTCHA di Cloudflare e reindirizza chi ci finisce sopra verso siti controllati dagli aggressori.
La tecnica era già emersa a luglio, quando il ricercatore noto come inf0stache aveva individuato un pacchetto chiamato china_airlines che sfruttava una finta pagina di verifica Cloudflare per spedire i visitatori su un dominio malevolo. Segnalazioni simili erano arrivate anche da IntelFusions. In un rapporto successivo, OX Security ha contato 24 pacchetti npm che contenevano la stessa identica pagina HTML, ospitata sia sul registro ufficiale sia su vari mirror.
Perché i mirror npm diventano hosting gratuito
Qui sta il punto interessante. A differenza dei classici attacchi alla supply chain visti negli ultimi mesi, installare questi pacchetti non infetta il computer dello sviluppatore con malware o infostealer. Non succede niente, tecnicamente. L’obiettivo è un altro, cioè usare il registro e le piattaforme che lo replicano come deposito sicuro e già validato per il payload.
Piattaforme come UNPKG e npmmirror copiano automaticamente i contenuti pubblicati su npm e permettono di aprire i singoli file direttamente nel browser. Risultato, un servizio pensato per i programmatori si trasforma in un host frontend gratuito per pagine malevole. Uno dei pacchetti analizzati conteneva soltanto due file, un index.html e un package.json che dichiarava l’HTML come file principale del pacchetto. Nient’altro.
Quando UNPKG replica il pacchetto, quella pagina si apre con un indirizzo del tipo unpkg.com seguito dal nome del pacchetto e dal file. La pagina dell’attaccante viene quindi caricata da un dominio legittimo e non da infrastrutture riconducibili al criminale, aggirando potenzialmente i software di sicurezza che avrebbero bloccato un sito sospetto. OX parla apertamente di mirror trasformati in host gratuiti per HTML malevoli e, potenzialmente, anche per altri payload.
Un finto CAPTCHA che smista il traffico
La pagina imita la schermata di verifica di Cloudflare e, dettaglio non da poco, incorpora il vero servizio Turnstile di Cloudflare. Che la verifica vada a buon fine oppure no cambia poco, perché il codice JavaScript, pesantemente offuscato, esegue comunque il reindirizzamento verso un altro sito.
Moshe Siman Tov Bustan, a capo del team di ricerca di OX Security, ha spiegato che le versioni più vecchie puntavano a microcloud.homes a luglio e a login.microsofte.live ad agosto. Alcuni dei primissimi reindirizzamenti di luglio finivano addirittura sulla pagina di accesso legittima di Microsoft Outlook. Il dominio usato più di recente non risulta attivo al momento, ma potrebbe ospitare una finta pagina di login Microsoft.
Altri pacchetti hanno cambiato approccio, appoggiandosi a api.keyval.org, un servizio del tutto legittimo per la memorizzazione di coppie chiave valore. Il codice più recente recupera un valore cifrato dal servizio, lo decifra dentro il browser e poi manda l’utente all’indirizzo ottenuto. Un meccanismo comodo per chi attacca, visto che consente di cambiare la destinazione da remoto senza dover modificare o ripubblicare il pacchetto npm. Durante le analisi, la destinazione configurata portava al sito ufficiale di ChatGPT.
Quel valore però può essere sostituito in qualsiasi momento, indirizzando le vittime verso pagine di ClickFix, download di malware o altre risorse controllate dagli aggressori. Le pagine esaminate finora non eseguono attacchi di tipo ClickFix, ma il potenziale c’è tutto.
C’è poi un problema di pulizia. I pacchetti possono restare disponibili sui mirror anche dopo essere stati rimossi dal registro npm ufficiale, il che allunga la vita delle pagine malevole ben oltre la loro cancellazione formale. Il consiglio dei ricercatori è trattare come potenzialmente sospetta qualunque richiesta diretta a file HTML sui domini dei mirror npm.
