{"id":139659,"date":"2025-07-21T11:12:05","date_gmt":"2025-07-21T09:12:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami"},"modified":"2025-07-21T11:12:05","modified_gmt":"2025-07-21T09:12:05","slug":"fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/fishing-pozvolil-poluchit-kontrol-nad-neskolkimi-populyarnymi-npm-paketami","title":{"rendered":"Il phishing ha permesso di ottenere il controllo su diversi pacchetti NPM popolari","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stata rilevata un'attack di phishing che colpisce gli sviluppatori di librerie JavaScript, durante la quale \u00e8 stato inviato un messaggio a nome del servizio NPM, notificando la necessit\u00e0 di confermare la propria email. Questa attacco ha permesso ai malintenzionati di ottenere i token NPM di uno dei principali progetti JavaScript e di rilasciare aggiornamenti contenenti codice dannoso per cinque pacchetti NPM, che nei complesso contano circa 100 milioni di download a settimana. <\/p>\n
Il messaggio inviato dall'assistente \u00e8 stato stilizzato per somigliare alle tipiche notifiche NPM inviate dall'indirizzo «support@npmjs.org», ma il dominio indicato per il collegamento era «npnjs.com» invece di «npmjs.com» (la terza lettera «n» anzich\u00e9 «m»). Gli attaccanti hanno sfruttato un effetto psicologico che causa, anticipando il risultato atteso, di non notare sottili distorsioni, come la sostituzione di lettere simili o la modifica dell'ordine delle lettere in una parola. Cliccando sul link si apriva una copia completa del sito npmjs.com (probabilmente \u00e8 stato configurato un proxy che intercettava il token di accesso).
<\/center> <\/p>\n
Durante l'attacco sono state rilasciate nuove versioni dei pacchetti: <\/p>\n
Negli rilasci creati \u00e8 stato inserito codice dannoso per attaccare gli utenti che utilizzano la piattaforma Windows. Le modifiche caricate includevano la libreria node-gyp.dll, contenente funzionalit\u00e0 per l'esecuzione remota di comandi nel sistema. <\/p>\n
L'autore ha notato di essere stato vittima di phishing circa un'ora dopo aver ricevuto la prima segnalazione riguardante la pubblicazione di versioni sospette. Ha immediatamente revocato il token di accesso, cambiato le password e contrassegnato le versioni problematiche come obsolete per impedirne il download da parte dei sistemi di compilazione automatizzati, e ha inviato una richiesta al servizio di supporto NPM per la rimozione delle versioni problematiche dal repository. <\/p>\n
Non \u00e8 specificato quante persone siano riuscite a scaricare versioni dannose (ad esempio, la versione dannosa del pacchetto eslint-plugin-prettier \u00e8 rimasta nel repository per circa due giorni). Nella scorsa settimana, il pacchetto eslint-config-prettier ha registrato 30 milioni di download ed \u00e8 stato utilizzato come dipendenza da 11.762 pacchetti, il pacchetto eslint-plugin-prettier ha avuto 21 milioni di download (8.468 pacchetti dipendenti), synckit ha registrato 18 milioni, @pkgr\/core 16 milioni e napi-postinstall 10 milioni. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Il](\"\/wp-content\/uploads\/2025\/07\/0d5e2613f7265b3fcca6ee367c0ecac9.png\")
<\/center> <\/p>\n