144 pacchetti infettati in 88 minuti: il nuovo volto degli attacchi alla catena del software
Un attaccante ha compromesso l'organizzazione Mastra su npm e ripubblicato oltre 140 pacchetti con una dipendenza malevola camuffata. È l'ennesimo colpo alla fragile catena del codice open source.
Bastano poco più di un'ora e un account compromesso per avvelenare il codice che migliaia di sviluppatori useranno senza accorgersene. È quanto accaduto il 17 giugno: un attaccante ha preso il controllo dell'organizzazione @mastra sul registro npm e, nel giro di circa 88 minuti, ha ripubblicato oltre 140 pacchetti con una dipendenza in più, malevola.
La trappola era ben costruita: la libreria iniettata si chiamava easy-day-js, un typosquat della popolarissima dayjs di cui copiava nome dell'autore, repository, licenza e numerazione delle versioni per ingannare i controlli. Una volta installata, eseguiva uno script che scaricava un secondo stadio del malware per poi auto-cancellarsi. I pacchetti coinvolti totalizzano oltre 1,1 milioni di download settimanali. Il punto d'ingresso, secondo le analisi, è stato un account di un contributore mai revocato; alcune società di sicurezza, tra cui Snyk e Orca, collegano le tecniche a un gruppo nordcoreano.
È l'ennesimo episodio di una minaccia ormai sistemica: gli attacchi alla catena di fornitura del software. Non si bersaglia più la singola azienda, ma le librerie open source da cui dipendono tutte. La difesa, qui, è meno appariscente di un firewall: significa verificare le dipendenze, bloccare gli aggiornamenti automatici di ciò che è critico, e trattare ogni pacchetto di terzi come codice di cui fidarsi solo dopo averlo controllato.
