Un gruppo di 24 pacchetti npm viene utilizzato come infrastruttura gratuita per campagne di phishing, reindirizzando gli utenti verso pagine CAPTCHA Cloudflare false ospitate su domini affidabili e sfruttando i mirror come unpkg.
Un nuovo allarme arriva dal settore della cybersecurity: i ricercatori di OX Security hanno individuato una campagna che sfrutta 24 pacchetti npm come infrastruttura gratuita per il phishing. Questi pacchetti, alcuni ancora scaricabili, contengono semplici file HTML che, una volta caricati sui mirror come unpkg, diventano pagine CAPTCHA Cloudflare false, ospitate su domini considerati sicuri.
Secondo Moshe Siman Tov Bustan e Vitalii Chepurko di OX Security, l'obiettivo non è infettare direttamente gli sviluppatori che installano i pacchetti, ma utilizzare il registro npm e i suoi mirror come spazio di archiviazione affidabile per il malware. Tra i pacchetti coinvolti figurano nomi come bgzxcuite2, prezdentkxheiw, egair0810, mnteckets, airdzticket, egypt0811, passport811 e molti altri.
Come funziona la truffa: dal mirror al phishing
Il meccanismo è semplice ma efficace: una volta che il file HTML viene reso disponibile tramite un mirror come unpkg (ad esempio, "unpkg[.]com/ndmxchdjxn2@1.0.0/index.html"), chiunque apra il link visualizza una pagina di verifica Cloudflare apparentemente legittima. In realtà, la pagina contiene JavaScript che reindirizza l'utente verso siti controllati dagli attaccanti, spesso utilizzando infrastrutture di phishing come ClickFix.
Le prime versioni del malware inviavano le richieste a un dominio typosquat che imitava la pagina di login Microsoft ("login[.]microsofte[.]live"). Dopo che questo dominio è stato bloccato da Google Chrome Safe Browsing, i criminali hanno iniziato a sfruttare KeyVal ("api.keyval[.]org"), un servizio pubblico di key-value store, per gestire i reindirizzamenti in modo più flessibile e difficile da bloccare. Attualmente, il reindirizzamento porta su ChatGPT, ma gli attaccanti possono modificare la destinazione in qualsiasi momento per veicolare nuove campagne di phishing.
Persistenza e rischi per utenti e sviluppatori
Questa tecnica rappresenta una minaccia particolare perché sfrutta infrastrutture legittime e difficili da bloccare. Anche dopo la rimozione dei pacchetti dal registro npm ufficiale, i file possono restare disponibili sui mirror, garantendo persistenza all'infrastruttura malevola. OX Security sottolinea che il vero rischio non è solo il furto di dati tramite malware tradizionale, ma l'abuso di piattaforme affidabili come npm per ospitare e distribuire contenuti dannosi.
Non è la prima volta che questa strategia viene utilizzata: già nell'ottobre 2025, Socket aveva documentato una campagna simile con 175 pacchetti npm che sfruttavano la CDN di unpkg.com per reindirizzare le vittime verso pagine di raccolta credenziali. Fenomeni analoghi sono stati osservati anche su altre piattaforme: ad esempio, una recente indagine su siti WordPress compromessi ha mostrato come i criminali informatici cerchino costantemente nuove modalità per sfruttare infrastrutture legittime a fini malevoli.
Implicazioni per la sicurezza e raccomandazioni
La campagna evidenzia la necessità di monitorare non solo i pacchetti installati, ma anche i mirror e le CDN utilizzate dagli sviluppatori. Gli esperti consigliano di prestare attenzione ai link che sembrano provenire da fonti affidabili e di verificare sempre la legittimità delle pagine di verifica, soprattutto quando si tratta di CAPTCHA o richieste di autenticazione. La persistenza dei pacchetti malevoli sui mirror rappresenta una sfida ulteriore per la sicurezza dell'ecosistema open source.
