È stato rilevato un pacchetto npm dannoso con un loader cifrato

I ricercatori della sicurezza hanno rilevato la diffusione di un pacchetto dannoso nel repository npm, che utilizza un meccanismo complesso di occultamento del payload. Il codice dannoso si attiva solo dopo aver risolto una specifica equazione matematica, consentendo di eludere i sistemi di analisi statica automatizzati.

Per proteggere il proprio contenuto dalla scoperta, gli aggressori hanno applicato l'algoritmo AES-GCM in combinazione con la funzione di generazione della chiave scrypt. Il loader cifrato decifra il modulo dannoso principale direttamente nella memoria operativa, minimizzando le tracce di presenza sul disco. Un'analisi tecnica dettagliata dell'incidente è stata pubblicata nel rapporto Safedep.

L'utilizzo di metodi crittografici nelle catene di approvvigionamento del software sta diventando il nuovo standard per eludere i sistemi di protezione. In questo caso, il controllo matematico svolge il ruolo di "bomba logica", che impedisce l'avvio del codice nelle sandbox che non sono in grado di emulare l'interazione o i calcoli necessari per la decrittazione.

Questo incidente sottolinea la vulnerabilità dell'ecosistema npm di fronte ai metodi di offuscamento avanzati. Si consiglia agli sviluppatori di eseguire un'audit delle dipendenze e di limitare l'esecuzione degli script durante l'installazione dei pacchetti, poiché metodi di mascheramento simili rendono gli scanner di vulnerabilità standard praticamente inutili. La discussione dei dettagli tecnici dell'attacco è disponibile sulla piattaforma Hacker News.