{"id":182783,"date":"2026-08-10T19:40:40","date_gmt":"2026-08-10T17:40:40","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/novyj-cherv-chaindrop-porazil-bolee-400-npm-paketov"},"modified":"2026-08-10T19:40:40","modified_gmt":"2026-08-10T17:40:40","slug":"novyj-cherv-chaindrop-porazil-bolee-400-npm-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/novyj-cherv-chaindrop-porazil-bolee-400-npm-paketov","title":{"rendered":"Il nuovo worm ChainDrop ha colpito oltre 400 pacchetti NPM","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

<\/i><\/a>
1 <\/p>\n

Registrato<\/a> un attacco di massa sui pacchetti nel repository NPM, condotto utilizzando un nuovo worm auto-replicante ChainDrop, che inserisce malware nelle dipendenze. A seguito dell'attacco, sono stati pubblicati 2212 rilasci malevoli per 444 pacchetti. I pacchetti compromessi pi\u00f9 popolari, keyv, flat-cache e file-entry-cache, hanno registrato rispettivamente 154, 149,9 e 147,6 milioni di download a settimana.<\/p>\n

<\/noindex> <\/p>\n

Il caricatore del worm si trovava nei file setup.mjs e Math_Symbol.js, che venivano eseguiti tramite un preinstall handler (\"preinstall\": \"node setup.mjs\"), invocato durante l'installazione del pacchetto compromesso. Gli script indicati caricavano un legittimo Bun runtime e il codice offuscato del worm, di dimensione 710 KB. Una volta attivato, il worm cercava nel sistema e nelle variabili d'ambiente i token per NPM, PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp, KubernetesK8s e altri servizi (venivano analizzati oltre 140 percorsi di file, come ~\/.npmrc), e analizzava anche la memoria (attraverso \/proc\/\/mem) dell'ambiente GitHub Actions alla ricerca di token e credenziali.<\/p>\n

<\/p>\n

In caso di rilevamento di un token per connettersi al repository NPM, il worm pubblicava automaticamente nuovi rilasci malevoli per i pacchetti in fase di sviluppo nell'attuale ambiente, compromettendo l'albero delle dipendenze. A differenza del worm precedentemente scoperto Shai-Hulud 2.0<\/a> , in ChainDrop \u00e8 stata implementata la tecnica EtherHiding per ricevere comandi di gestione attraverso la blockchain pubblica di Ethereum, utilizzando la crittografia per nascondere i dati riservati trasmessi al server degli attaccanti e garantendo l'inserimento nei file di configurazione di Claude Code, VS Code e GitHub Copilot per consolidare la propria presenza nel sistema.<\/p>\n

<\/noindex> <\/p>\n

L'attacco \u00e8 iniziato con la compromissione del processo di creazione dei rilasci sulla base di GitHub Actions per il pacchetto keyv<\/a>, con 154 milioni di download a settimana e utilizzato come dipendenza in 1703 pacchetti. Gli aggressori hanno creato una nuova versione 6.0.0, inserendovi del codice dannoso, e l'hanno pubblicata utilizzando il meccanismo «Trusted Publishers<\/a>» e corretto certificazione SLSA<\/a>. Dopo la pubblicazione, il worm ha compromesso molti pacchetti dipendenti da keyv e, a catena, ha iniziato a colpire le dipendenze indirette.<\/p>\n

<\/noindex> <\/p>\n

Tra i pacchetti pi\u00f9 popolari compromessi dal worm, che ha pubblicato per loro rilasci malevoli, si trovano:<\/p>\n