Quattro pacchetti npm malevoli pubblicati dallo stesso utente stanno diffondendo cloni del worm Shai-Hulud, infostealer e una botnet DDoS chiamata Phantom Bot. I pacchetti risultano ancora disponibili sul registry npm al 18 maggio 2026 e hanno già raggiunto migliaia di download colpendo direttamente developer e ambienti di sviluppo. Uno dei pacchetti contiene un clone quasi identico del codice sorgente di Shai-Hulud leaked da TeamPCP, mentre gli altri rubano credenziali SSH, chiavi cloud e wallet crypto oppure trasformano i sistemi infetti in nodi di botnet DDoS. La campagna mostra l’emergere dei primi copycat del malware TeamPCP e sfrutta tecniche di typo-squatting per colpire utenti che cercano librerie comuni come axios, chalk o package di utility per il frontend. L’episodio conferma ancora una volta quanto la supply chain npm continui a rappresentare uno dei vettori più pericolosi per furti di segreti, compromissioni di ambienti enterprise e distribuzione di malware su larga scala.
Cosa leggere
Quattro pacchetti npm malevoli restano online con migliaia di download
Il ricercatore che ha analizzato la campagna identifica quattro pacchetti pubblicati dall’utente deadcode09284814. Tutti risultano ancora scaricabili e registrano circa 2.678 download nella settimana precedente all’analisi. I nomi scelti sfruttano typo-squatting e piccoli errori ortografici per confondere gli sviluppatori che cercano librerie popolari all’interno dell’ecosistema npm. Ogni pacchetto incorpora payload differenti ma segue una struttura di attacco comune: installazione silenziosa, esecuzione automatica e attivazione immediata del codice malevolo durante il processo di setup. Questo approccio aumenta notevolmente il rischio perché molti developer installano dipendenze rapidamente senza controllare autore, codice sorgente o cronologia del package. L’uso di repository pubblici come npm rende inoltre estremamente veloce la propagazione del malware verso workstation di sviluppo, pipeline CI/CD e ambienti enterprise collegati a repository GitHub o infrastrutture cloud.
chalk-tempalte distribuisce un clone quasi identico di Shai-Hulud
Il pacchetto chalk-tempalte rappresenta il caso più evidente di copycat malware. Il codice contenuto al suo interno risulta una copia quasi identica del worm Shai-Hulud pubblicato e leaked da TeamPCP. Una volta installato, il payload ruba credenziali sensibili tra cui token GitHub e altri segreti presenti nell’ambiente dello sviluppatore. I dati vengono esfiltrati verso il server C2 associato al dominio 87e0bbc636999b.lhr.life. Oltre all’esfiltrazione tradizionale, il malware carica automaticamente i dati rubati all’interno di un nuovo repository GitHub pubblico utilizzando la descrizione “A Mini Sha1-Hulud has Appeared”. Questo comportamento dimostra come nuovi attori stiano rapidamente clonando il malware leaked per creare varianti personalizzate distribuite tramite supply chain attack. L’assenza di tecniche avanzate di offuscamento suggerisce inoltre che gli operatori privilegino velocità e ampia distribuzione piuttosto che stealth sofisticato.
axios-util e color-style-utils rubano chiavi cloud e wallet crypto
I pacchetti @deadcode09284814/axios-util e color-style-utils distribuiscono infostealer specializzati nel furto di segreti sensibili. Entrambi raccolgono chiavi SSH, variabili d’ambiente, credenziali cloud per AWS, Google Cloud Platform e Azure, oltre a informazioni di sistema, indirizzi IP e dati associati a wallet cryptocurrency. I dati vengono inviati rispettivamente agli endpoint 80.200.28.28:2222 e edcf8b03c84634.lhr.life. Gli stealer operano in maniera completamente silenziosa e risultano particolarmente pericolosi per developer che lavorano su progetti reali dove i segreti sono spesso presenti nei file di configurazione o nelle variabili di ambiente locali. La compromissione di queste credenziali può consentire accesso a repository aziendali, ambienti cloud, infrastrutture Kubernetes e servizi CI/CD. Questo trasforma un semplice package npm malevolo in un punto di ingresso potenzialmente devastante per compromissioni enterprise più ampie.
axois-utils trasforma i sistemi in nodi della botnet Phantom
Il pacchetto axois-utils distribuisce un malware DDoS scritto in Golang noto come Phantom Bot. Il software malevolo supporta diverse modalità di attacco tra cui flood HTTP, TCP, UDP e richieste di reset progettate per saturare servizi remoti. Una volta installato, il bot stabilisce persistenza sui sistemi Windows tramite cartella di avvio e task schedulati mentre sui sistemi Linux utilizza meccanismi equivalenti per mantenersi attivo anche dopo riavvii o tentativi di rimozione superficiale. Una caratteristica particolarmente pericolosa riguarda la capacità del malware di sopravvivere anche dopo la disinstallazione del pacchetto npm originario. Questo comportamento consente agli attaccanti di trasformare workstation di developer e server vulnerabili in nodi permanenti di una botnet DDoS distribuita. Le macchine compromesse possono quindi essere utilizzate per attacchi coordinati contro siti web, API, servizi cloud o infrastrutture enterprise senza che l’utente si accorga immediatamente della compromissione.
I copycat di TeamPCP sfruttano typo-squatting e velocità di diffusione
La campagna dimostra l’arrivo dei primi veri copycat del malware Shai-Hulud dopo il leak del codice attribuito a TeamPCP. I nuovi operatori sfruttano package name molto simili a quelli popolari per massimizzare le probabilità di installazione accidentale da parte degli sviluppatori. I target principali risultano developer individuali, team DevOps e ambienti CI/CD che utilizzano npm per gestire dipendenze software. Una volta infettati, i sistemi perdono segreti critici e possono venire arruolati in botnet DDoS distribuite. Il fatto che il clone di Shai-Hulud venga distribuito senza offuscamento avanzato suggerisce che gli attaccanti puntino soprattutto a rapidità di diffusione e facilità di replica. L’ecosistema npm, con milioni di package pubblici e installazioni automatiche frequenti, rappresenta infatti un ambiente ideale per campagne massive di supply chain compromise contro sviluppatori e infrastrutture software moderne.
Gli indicatori di compromissione mostrano server C2 e repository GitHub
Gli indicatori di compromissione individuati includono i domini C2 87e0bbc636999b.lhr.life, 80.200.28.28:2222 e edcf8b03c84634.lhr.life, oltre ai repository GitHub pubblici che contengono la frase “A Mini Sha1-Hulud has Appeared”. Gli sviluppatori che sospettano compromissioni devono disinstallare immediatamente i quattro pacchetti: chalk-tempalte, @deadcode09284814/axios-util, axois-utils e color-style-utils. È inoltre necessario ruotare tutte le credenziali esposte, controllare repository GitHub personali e aziendali e bloccare il traffico verso gli indicatori di rete sospetti. Gli utenti che utilizzano IDE avanzati o agenti di coding AI come Claude Code devono verificare attentamente le configurazioni automatiche per evitare installazioni involontarie di dipendenze malevole durante la generazione o l’aggiornamento del codice. Anche pipeline CI/CD e container build dovrebbero essere controllati per individuare eventuali package compromessi già inclusi nei workflow di sviluppo.
La supply chain npm continua a essere un bersaglio privilegiato
L’attacco dimostra ancora una volta quanto la supply chain npm rappresenti uno dei vettori più efficaci per compromettere ambienti di sviluppo moderni. Il caso attuale combina furto di credenziali, clonazione di malware noti e creazione di botnet DDoS all’interno di una singola campagna coordinata. Gli sviluppatori che lavorano con strumenti moderni risultano particolarmente esposti perché spesso utilizzano installazioni rapide, dependency update automatici e package provenienti da repository pubblici. La compromissione di segreti cloud, token GitHub o chiavi SSH può rapidamente trasformarsi in accesso laterale a infrastrutture enterprise e servizi critici. Il fatto che i package risultino ancora online al 18 maggio 2026 aumenta ulteriormente il rischio di nuove infezioni nelle prossime ore e dimostra la difficoltà di moderare ecosistemi open source enormi come npm.
Gli attacchi npm evolvono verso malware sempre più completi
Le campagne supply chain contro npm stanno evolvendo rapidamente da semplici credential stealer verso piattaforme malware multifunzione. In questo caso gli attaccanti combinano furto di segreti, worm copycat e funzionalità botnet all’interno della stessa operazione. Questo approccio aumenta enormemente il valore offensivo delle infezioni perché consente sia monetizzazione immediata tramite furto di credenziali sia utilizzo delle macchine compromesse per attacchi DDoS futuri. Gli sviluppatori e le aziende devono quindi adottare pratiche molto più rigorose nella gestione delle dipendenze. Controlli di reputazione dei package, verifica manuale delle librerie, monitoraggio delle installazioni e rotazione periodica dei segreti diventano misure indispensabili per ridurre il rischio di compromissioni della supply chain software. La vicenda conferma inoltre che il leak di malware avanzati come Shai-Hulud può rapidamente generare un ecosistema di copycat distribuiti su larga scala attraverso repository pubblici.
Iscriviti alla Newsletter
Non perdere le analisi settimanali: Entra nella Matrice Digitale.
Matrice Digitale partecipa al Programma Affiliazione Amazon EU. In qualità di Affiliato Amazon, ricevo un guadagno dagli acquisti idonei. Questo non influenza i prezzi per te.
