ClickFix sfrutta npm come hosting fidato: 24 pacchetti trasformano i mirror in pagine phishing

🛡️ Executive Summary

• OX Security identifica 24 pacchetti npm contenenti la stessa falsa pagina Cloudflare, con 50-300 download settimanali prima della rimozione.
• L’installazione dei pacchetti non compromette il sistema: npm e i suoi mirror vengono abusati come hosting gratuito e affidabile per pagine phishing renderizzabili via Web.
• La campagna passa da un dominio Microsoft typosquat a keyval.org come resolver dinamico, permettendo agli operatori di cambiare destinazione senza modificare i pacchetti.

ClickFix entra nell’ecosistema npm con una tecnica che cambia completamente il significato di “pacchetto malevolo”. OX Security ha individuato 24 package contenenti la stessa falsa pagina di verifica Cloudflare, ma il loro scopo non è infettare gli sviluppatori durante npm install. Il registry viene utilizzato come deposito affidabile per HTML ostile che viene automaticamente replicato da servizi come unpkg, Yarn, npmmirror e Tencent. Alcuni di questi mirror espongono direttamente i file del pacchetto attraverso HTTPS e finiscono così per trasformarsi, inconsapevolmente, in hosting gratuito per pagine phishing e potenziali payload ClickFix serviti da domini con una reputazione molto migliore di quella di un’infrastruttura criminale appena registrata.

I 24 pacchetti npm non infettano chi li installa

Nel report pubblicato da OX Security i ricercatori sottolineano un dettaglio essenziale: scaricare o installare questi package non provoca automaticamente una compromissione. Ogni pacchetto contiene essenzialmente una pagina HTML e non dispone del classico postinstall incaricato di eseguire malware sulla workstation dello sviluppatore. Questo distingue nettamente la campagna dai tradizionali attacchi supply chain, come quello in cui Sapphire Sleet aveva trasformato oltre 140 pacchetti npm Mastra in una catena di infezione automatica. Qui l’obiettivo non è il package manager in quanto meccanismo di esecuzione, ma l’infrastruttura che nasce automaticamente intorno al package dopo la pubblicazione. OX osserva che ciascun pacchetto raggiunge normalmente tra 50 e 300 download settimanali prima della rimozione, ma il dato dei download è quasi secondario rispetto alla disponibilità pubblica dei file attraverso i mirror.

unpkg e gli altri mirror diventano frontend per il phishing

Il punto debole sfruttato dagli operatori è estremamente semplice. Servizi come unpkg consentono di richiamare direttamente un file contenuto in un pacchetto npm attraverso un URL Web. Se quel file è index.html, il browser non scarica necessariamente un archivio: renderizza la pagina. L’attaccante può quindi pubblicare una falsa verifica Cloudflare su npm e distribuire alla vittima un link ospitato indirettamente su un dominio noto e normalmente affidabile. Il browser mostra una pagina perfettamente funzionante senza che l’operatore debba acquistare hosting o mantenere un proprio frontend. È una forma di abuso dell’infrastruttura legittima che ricorda le campagne ClickFix capaci di sfruttare siti WordPress compromessi come delivery, C2 e storage, ma con una differenza sostanziale: in questo caso il servizio abusato non deve essere necessariamente compromesso. È il normale comportamento del mirror a rendere disponibile il contenuto.

La pagina imita Cloudflare e prepara la seconda fase

Quando la vittima apre il file HTML, vede una falsa pagina di verifica Cloudflare. Il sorgente contiene la logica necessaria a mostrare l’interfaccia insieme a JavaScript offuscato che contatta un server remoto. La campagna è quindi costruita a strati: npm e i mirror servono a ottenere fiducia iniziale e persistenza del frontend, mentre la destinazione effettiva viene decisa successivamente.

OX definisce l’attività una campagna potenzialmente in grado di distribuire ClickFix, perché l’HTML può indirizzare la vittima verso una pagina che chiede di eseguire manualmente un comando nel terminale o verso qualsiasi altra infrastruttura phishing configurata dall’operatore. È lo stesso paradigma già osservato quando ClickFix ha iniziato a utilizzare fingerprinting e pagine selettive per distribuire Atomic Stealer su macOS: la pagina visualizzata è soltanto l’interfaccia attraverso cui l’utente viene trasformato nel vettore di esecuzione.

Il primo dominio imitava Microsoft con un semplice typosquat

La prima versione osservata da OX inviava le richieste verso login[.]microsofte[.]live, un dominio costruito aggiungendo una singola lettera a una stringa immediatamente riconoscibile come Microsoft. La destinazione è stata successivamente inserita nelle blacklist e, una volta identificata, ha perso rapidamente efficacia.

È proprio questa debolezza che ha spinto gli operatori a cambiare modello. Invece di sostituire semplicemente il dominio malevolo con un altro dominio altrettanto effimero, le versioni successive hanno iniziato a utilizzare un servizio legittimo come livello di indirezione, riducendo la necessità di aggiornare continuamente i pacchetti e migliorando la resilienza dell’infrastruttura.

keyval.org diventa un resolver remoto per la destinazione finale

Le versioni più recenti contattano api.keyval.org, servizio legittimo utilizzato per memorizzare coppie chiave-valore. OX precisa correttamente che keyval.org non è malevolo in sé. Gli aggressori lo utilizzano per recuperare un valore cifrato, decodificarlo lato client e ottenere l’URL a cui indirizzare successivamente il browser. In questo modo la destinazione reale può essere modificata nel backend senza pubblicare una nuova versione del pacchetto npm. Al momento dell’analisi, il valore remoto conduceva semplicemente al sito legittimo di ChatGPT, comportamento compatibile con una fase inattiva, un sistema di evasione o una configurazione temporaneamente disarmata. L’operatore potrebbe però modificare il valore e indirizzare immediatamente tutte le pagine già distribuite verso ClickFix, credential phishing o altri payload. È la stessa logica dei dead-drop resolver osservata recentemente quando PINHOLE ha utilizzato Pinterest e SurveyMonkey per ricavare dinamicamente il proprio C2.

npm viene abusato come storage e non come catena di esecuzione

Questa distinzione ha conseguenze difensive importanti. La sicurezza delle supply chain si concentra normalmente su script di installazione, dipendenze, typosquatting, maintainer compromessi e codice eseguito durante build o CI/CD. Qui nessuno di questi elementi è necessario. npm funziona semplicemente da datastore pubblico gratuito e i mirror trasformano automaticamente quel datastore in un endpoint HTTPS. La dinamica è diversa dai pacchetti che OX aveva già individuato su npm e NuGet mentre sottraevano file, token e credenziali dagli ambienti di sviluppo. In quei casi l’utente doveva installare l’artefatto malevolo. Nella nuova campagna, invece, la vittima potrebbe non conoscere nemmeno npm: basta che apra un link che punta a un mirror.

La rimozione da npm non garantisce che il contenuto sparisca

OX evidenzia un secondo problema: un pacchetto rimosso dal registry principale può sopravvivere nei mirror o nelle cache. È una forma di persistenza infrastrutturale che rende il takedown meno lineare rispetto alla semplice cancellazione di un dominio malevolo. Se più servizi hanno già replicato l’artefatto, l’HTML può continuare a essere raggiungibile anche dopo l’intervento sul repository originario. Questa caratteristica rende npm particolarmente interessante per operatori che cercano hosting effimero ma distribuito. Il modello ricorda ciò che avviene nella blockchain o nei servizi cloud abusati come dead drop: separare il payload dall’infrastruttura controllata direttamente dall’attaccante aumenta il costo della rimozione e riduce l’utilità delle blacklist tradizionali.

Le difese devono smettere di considerare affidabile un dominio solo perché è un mirror npm

OX raccomanda di trattare unpkg, npmmirror, Yarn e altri mirror npm come potenziali host di phishing quando vengono utilizzati per servire direttamente file HTML, aggiungendo questi percorsi ai sistemi di URL reputation e cercando nei log proxy e DNS richieste anomale verso file .html interni ai pacchetti. Non significa bloccare indiscriminatamente i mirror, che rimangono infrastrutture legittime utilizzate quotidianamente dallo sviluppo Web, ma distinguere il normale download di componenti JavaScript dalla navigazione interattiva verso una pagina renderizzata. È la stessa difficoltà che caratterizza sempre più campagne moderne: il dominio è affidabile, il protocollo è normale e la piattaforma è lecita; è il contesto d’uso a essere malevolo. I 24 pacchetti individuati da OX Security rappresentano quindi qualcosa di più interessante di una nuova lista di package da rimuovere. Mostrano che un registry software può diventare infrastruttura phishing anche senza eseguire una singola riga di codice sulla macchina dello sviluppatore. ClickFix continua così a espandere il proprio modello: dopo siti compromessi, annunci sponsorizzati e infrastrutture di fingerprinting, ora può sfruttare anche l’effetto reputazionale dei repository open source. La supply chain non viene necessariamente avvelenata: viene usata come facciata affidabile per portare la vittima davanti alla trappola.