{"id":139659,"date":"2025-07-21T11:12:05","date_gmt":"2025-07-21T09:12:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami"},"modified":"2025-07-21T11:12:05","modified_gmt":"2025-07-21T09:12:05","slug":"fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami","title":{"rendered":"Il phishing ha permesso di ottenere il controllo su diversi pacchetti NPM popolari.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stata registrata un'attacco di phishing contro librerie JavaScript, in cui \u00e8 stato inviato, a nome del servizio NPM, un messaggio che notificava la necessit\u00e0 di confermare la propria email. L'attacco ha consentito ai malintenzionati di ottenere i token NPM associati a uno dei principali progetti JavaScript e di rilasciare aggiornamenti con codice dannoso per cinque pacchetti NPM, che in totale hanno accumulato circa 100 milioni di download a settimana. <\/p>\n
Il messaggio inviato dall'assistente \u00e8 stato stilizzato come le notifiche standard di NPM, inviate dall'indirizzo \u00absupport@npmjs.org\u00bb, ma come link per il passaggio \u00e8 stato specificato il dominio \u00abnpnjs.com\u00bb invece di \u00abnpmjs.com\u00bb (la terza lettera \u00abn\u00bb invece di \u00abm\u00bb). Gli attaccanti hanno sfruttato l'effetto psicologico, per cui il cervello, anticipando il risultato atteso, non nota piccole distorsioni, come la sostituzione di lettere simili o la modifica dell'ordine delle lettere in una parola. Cliccando sul link si apriva una copia completa del sito npmjs.com (probabilmente era stato configurato un proxy che intercettava il token di accesso).
<\/center> <\/p>\n
Durante l'attacco sono state generate nuove versioni dei pacchetti: <\/p>\n
Negli aggiornamenti creati \u00e8 stato aggiunto codice dannoso per attaccare gli utenti che utilizzano la piattaforma Windows. Le modifiche apportate caricavano la libreria node-gyp.dll, contenente funzionalit\u00e0 per l'esecuzione remota di comandi nel sistema. <\/p>\n
Il mantenitore ha notato di essere diventato vittima di phishing circa un'ora dopo la ricezione della prima segnalazione riguardo alla pubblicazione di versioni sospette. Ha immediatamente revocato il token di accesso, cambiato le password e contrassegnato le versioni problematiche come obsolete per prevenire il download da parte dei sistemi di build automatizzati, e ha inviato una richiesta di rimozione delle versioni problematiche dal repository al supporto NPM. <\/p>\n
Non si specifica quanti utenti siano riusciti a scaricare le versioni dannose (ad esempio, la versione dannosa del pacchetto eslint-plugin-prettier \u00e8 rimasta nel repository per circa due giorni). La scorsa settimana il pacchetto eslint-config-prettier ha registrato 30 milioni di download ed \u00e8 stato utilizzato come dipendenza da 11.762 pacchetti; il pacchetto eslint-plugin-prettier ha registrato 21 milioni di download (8.468 pacchetti dipendenti), synckit 18 milioni, @pkgr\/core 16 milioni e napi-postinstall 10 milioni. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Il](\"\/wp-content\/uploads\/2025\/07\/0d5e2613f7265b3fcca6ee367c0ecac9.png\")
<\/center> <\/p>\n