La release npm dannosa di jscrambler 8.14.0 ha distribuito un infostealer multipiattaforma

Una release compromessa del pacchetto npm jscrambler ha installato un infostealer basato su Rust sui sistemi degli sviluppatori, secondo le analisi di Socket, StepSecurity e SafeDep. La versione 8.14.0 è stata pubblicata l'11 luglio 2026 ed è stata sostituita poco dopo dalla 8.15.0. Tuttavia, la release compromessa è ancora disponibile su npm e potrebbe essere installata quando viene indicata in un lockfile o tramite una versione esplicita.

Il pacchetto dannoso ha introdotto un hook preinstall e due file nella directory dist/. Il loader seleziona un binario specifico per la piattaforma incorporato in intro.js, lo scrive in un file con nome casuale nella directory temporanea del sistema e lo avvia nascondendone l'output. I ricercatori hanno individuato build per Windows, macOS e Linux. I file non sembrano comparire nella cronologia pubblica del codice sorgente del progetto e non è stato identificato alcun commit o tag 8.14.0 corrispondente, suggerendo che potrebbe essere stato compromesso un account di un maintainer o la pipeline di rilascio.

Informazioni prese di mira

Il malware cerca credenziali e dati di sessione comunemente presenti sui sistemi di sviluppo e CI. Tra gli obiettivi segnalati figurano le credenziali AWS, Azure e Google Cloud; le password e i cookie dei browser; i portafogli di criptovalute; i dati di Bitwarden; e le sessioni di servizi come Discord, Slack, Telegram e Steam. Sono presi di mira anche i file di configurazione utilizzati dagli strumenti di sviluppo basati sull'IA, tra cui Claude Desktop, Cursor, Windsurf, VS Code e Zed, poiché potrebbero contenere chiavi API o credenziali del Model Context Protocol.

Su Linux, il binario include funzionalità associate al caricamento di codice eBPF, mentre le varianti per Windows e macOS implementano meccanismi di persistenza. Il monitoraggio durante l'esecuzione ha rilevato connessioni a due indirizzi IP codificati nel malware e all'infrastruttura Tor. Il pacchetto riceve circa 15.800 download alla settimana, sebbene il numero di installazioni della versione 8.14.0 sia sconosciuto.

Risposta consigliata

• Eseguire l'upgrade alla versione 8.15.0 o il rollback alla 8.13.0 e rimuovere la 8.14.0 dai lockfile e dalle cache.
• Esaminare i log dei gestori di pacchetti e le attività CI per verificare le installazioni effettuate dall'11 luglio in poi, inclusa l'esecuzione di dist/setup.js.
• Controllare le directory temporanee, le attività pianificate e i LaunchAgent di macOS alla ricerca di artefatti sospetti.
• Presumere che i segreti accessibili siano stati esposti: ruotare le credenziali cloud, npm, GitHub e degli strumenti di IA; revocare le sessioni; e mettere in sicurezza le criptovalute custodite sui sistemi interessati.

L'incidente evidenzia il rischio rappresentato dagli script di installazione nelle dipendenze degli sviluppatori. npm 12 disabilita questi script per impostazione predefinita, ma i client meno recenti potrebbero eseguirli automaticamente.