Pacchetti npm collegati alla Corea del Nord imitano i polyfill di Rollup in una campagna di attacco alla supply chain rivolta agli sviluppatori

I ricercatori hanno scoperto una nuova operazione contro la supply chain del software che coinvolge pacchetti npm dannosi, i quali imitano strumenti legittimi per i polyfill di Rollup e sembrano essere collegati ad attori delle minacce nordcoreani. I pacchetti sono progettati per apparire credibili durante i normali controlli delle dipendenze, distribuendo al contempo malware sui sistemi degli sviluppatori.

Secondo JFrog, due pacchetti — rollup-packages-polyfill-core e rollup-runtime-polyfill-core — copiano da vicino lo stile dei nomi, i metadati e la presentazione generale del progetto reale rollup-plugin-polyfill-node. Sono stati inoltre identificati e rimossi da npm altri quattro pacchetti correlati: quirky-token, react-icon-svgs, rollup-plugin-polyfill-connect e swift-parse-stream.

Come funziona l'attacco

I pacchetti dannosi utilizzano una struttura a più fasi. Il primo livello richiama pacchetti aggiuntivi, che recuperano quindi codice JavaScript da un servizio esterno di hosting JSON e lo eseguono. JFrog ha dichiarato che il codice esegue controlli sull'ambiente per evitare di funzionare in sandbox, configurazioni di sviluppo cloud, piattaforme serverless e ambienti di analisi.

Quando il malware determina di essere in esecuzione su un bersaglio reale, scarica un payload crittografato da un server esterno e lo decifra trasformandolo in un loader. Questo loader aggiunge funzionalità per l'accesso remoto, il furto di dati e il controllo del sistema.

• Accesso interattivo al terminale ed esecuzione di comandi
• Acquisizione di screenshot e terminazione dei processi
• Controllo del mouse, della tastiera e dello scorrimento sui sistemi Windows
• Furto di dati dai browser e dai wallet di criptovalute
• Raccolta di file, acquisizione dei contenuti degli appunti e ricerca di informazioni segrete

Il componente per la ricerca dei file è rivolto in particolare agli ambienti degli sviluppatori e raccoglie cronologie e dati di configurazione da strumenti come Visual Studio Code, Windsurf e Cursor, oltre a credenziali e impostazioni associate ad AWS, Azure, Gemini, Anthropic Claude, SSH e Zsh.

Parte di un fenomeno più ampio

JFrog ha dichiarato che la campagna presenta analogie con precedenti abusi di npm attribuiti ad attori nordcoreani, comprese operazioni che distribuivano famiglie di malware come BeaverTail e OtterCookie. L'attività rientra inoltre in una tendenza più ampia degli aggressori a prendere di mira gli ecosistemi open source per sottrarre codice sorgente, chiavi API, credenziali cloud e altro materiale sensibile dagli sviluppatori e dai server di build.

I ricercatori di sicurezza affermano che le ultime scoperte confermano la necessità di esaminare più attentamente i nomi dei pacchetti, il comportamento durante l'installazione e le catene di dipendenze, soprattutto nei progetti che si affidano ai plugin di Rollup o ad altri strumenti comunemente utilizzati nelle pipeline CI e nelle configurazioni delle workstation.