Shai-Hulud torna a colpire la supply chain JavaScript mentre WebRAT si diffonde come backdoor commerciale sfruttando GitHub e npm registry, dimostrando nel 2025 come la fiducia nell’ecosistema open source possa essere trasformata in un vettore di compromissione sistemica. Le due campagne, pur rivolgendosi a pubblici diversi, condividono una stessa logica operativa basata su persistenza, offuscamento e sfruttamento di repository apparentemente legittimi per sottrarre segreti, credenziali e dati sensibili.
Nel corso del 2025 Shai-Hulud e WebRAT hanno segnato un nuovo punto di svolta nella storia degli attacchi alla supply chain software, dimostrando come GitHub e npm registry possano essere trasformati da infrastrutture collaborative in vettori offensivi ad alta efficacia. Le due campagne, pur differenti per obiettivi e pubblico, condividono una stessa strategia di fondo: sfruttare la fiducia strutturale dell’ecosistema open source per ottenere accesso a sistemi personali e aziendali, rubare segreti e garantire persistenza nel tempo.
La variante aggiornata di Shai-Hulud, identificata su npm a fine dicembre 2025, e la diffusione parallela di WebRAT tramite repository GitHub fraudolenti presentati come proof-of-concept di vulnerabilità reali, evidenziano una maturazione significativa delle tecniche di social engineering e di offuscamento. In entrambi i casi il malware non punta più sulla diffusione massiva immediata, ma su test controllati, iterazioni rapide e adattamento continuo alle difese esistenti, riducendo la probabilità di rilevamento precoce.
La convergenza tra sviluppo open source, automazione CI/CD e consumo distratto di codice di terze parti ha creato un contesto in cui un singolo pacchetto npm o un repository GitHub apparentemente legittimo può diventare il punto di ingresso per compromissioni estese. Shai-Hulud e WebRAT rappresentano due facce dello stesso problema: la trasformazione della collaborazione tecnica in superficie di attacco sistemica.
Cosa leggere
Shai-Hulud e la nuova variante su npm
La campagna Shai-Hulud è stata individuata come una evoluzione diretta del worm già noto per la compromissione della supply chain JavaScript, con particolare attenzione al registry npm. Nel dicembre 2025 è emersa una variante modificata incorporata nel pacchetto @vietmoney/react-big-calendar, pubblicato dall’utente “hoquocdat” e aggiornato alla versione 0.26.2 il 28 dicembre 2025. I numeri di download, limitati a 698 complessivi e 197 per l’ultima release, indicano chiaramente un test del payload in ambiente reale ma a basso rischio, una strategia sempre più diffusa tra operatori avanzati.
Dal punto di vista tecnico la nuova variante mostra un lavoro mirato di rifinitura. I file iniziali vengono rinominati in bun_installer.js, mentre il payload principale prende il nome di environment_source.js, una scelta che consente di mimetizzare il codice malevolo all’interno di flussi di build e dipendenze legittime. L’esecuzione iniziale attiva una catena di raccolta dati focalizzata su chiavi API, token di accesso, credenziali cloud e segreti CI/CD, asset di altissimo valore per attacchi successivi.
L’esfiltrazione rappresenta uno degli aspetti più significativi della campagna. I dati rubati non vengono inviati a server di comando tradizionali, ma caricati su repository GitHub controllati dagli attaccanti, identificati dalla descrizione “Goldox-T3chs: Only Happy Girl”. I file risultanti adottano nomi volutamente confusi come 3nvir0nm3nt.json, cl0vd.json, c9nt3nts.json, pigS3cr3ts.json e actionsSecrets.json, una tecnica che riduce la probabilità di individuazione automatica e complica le analisi manuali.
Un elemento rivelatore è un bug nel codice che tenta di recuperare c0nt3nts.json ma salva i dati in c9nt3nts.json. L’errore suggerisce uno sviluppo rapido e iterativo, tipico delle fasi di test controllato. Nonostante il limite operativo, la struttura complessiva del malware rimane efficace e pronta a ulteriori affinamenti.
Tra le modifiche più rilevanti emerge la rimozione del dead man switch, un meccanismo presente nelle versioni precedenti che attivava un wiper in assenza di token validi. La sua eliminazione indica una scelta strategica precisa: massimizzare la persistenza e la continuità della raccolta dati, evitando comportamenti distruttivi che attirerebbero attenzione immediata. In parallelo viene migliorata la gestione degli errori, in particolare per i timeout di TruffleHog, scanner di credenziali ampiamente usato in ambienti CI/CD, segno di una profonda conoscenza delle contromisure adottate dagli sviluppatori.
La variante introduce anche adattamenti specifici per sistema operativo, con l’uso di bun.exe su Windows e una riorganizzazione dell’ordine di raccolta e salvataggio dei dati, con il contenuto completo scritto solo in fase finale. Questo approccio riduce il rischio di interruzione prematura e ottimizza l’esfiltrazione anche in presenza di controlli parziali.
Nel complesso Shai-Hulud conferma la propria natura di worm orientato alla supply chain, capace non solo di sottrarre segreti ma anche di propagarsi ulteriormente tramite token npm compromessi, modificando e ripubblicando pacchetti popolari. Il test su un pacchetto a bassa visibilità riduce il rischio iniziale e prepara il terreno per campagne di scala maggiore.
WebRAT e la diffusione tramite repository GitHub falsi
Parallelamente all’evoluzione di Shai-Hulud, il 2025 ha visto l’emergere di WebRAT come backdoor commerciale venduta su circuiti dark web e diffusa in modo aggressivo attraverso GitHub. A differenza del worm npm, WebRAT punta direttamente a utenti finali e ambienti aziendali, sfruttando l’interesse verso vulnerabilità recenti e strumenti di hacking dimostrativi.
Secondo le analisi di Kaspersky, a partire da settembre sono stati individuati almeno 15 repository GitHub fraudolenti presentati come proof-of-concept per vulnerabilità reali, completi di descrizioni tecniche dettagliate e spesso generate tramite intelligenza artificiale. Questo livello di cura consente ai repository di apparire credibili anche agli occhi di ricercatori e professionisti della sicurezza.
Le vulnerabilità utilizzate come esca includono CVE-2025-59295, buffer overflow in MSHTML/Internet Explorer, CVE-2025-10294, bypass di autenticazione nel plugin WordPress OwnID, e CVE-2025-59230, escalation di privilegi nel servizio Windows Remote Access Connection Manager. In tutti i casi i repository promettono exploit funzionanti e mitigazioni, ma distribuiscono archivi ZIP protetti da password contenenti il dropper di WebRAT.
La struttura degli archivi è studiata per ingannare utenti e controlli automatici. Un file vuoto con lo stesso nome della password suggerita, una DLL decoy corrotta e uno script batch che avvia il dropper rasmanesc.exe costituiscono una catena di esecuzione semplice ma efficace. Una volta avviato, il dropper eleva i privilegi, disabilita Windows Defender e scarica WebRAT da URL hardcoded, completando l’infezione.
La persistenza viene garantita tramite modifiche al Registro di Windows, attività pianificate e iniezioni in directory di sistema con nomi casuali, rendendo la rimozione manuale complessa. Le capacità di WebRAT sono estese e invasive, includendo furto di credenziali Steam, Discord e Telegram, accesso ai wallet di criptovalute, cattura di screenshot e controllo della webcam, fino alla manipolazione dell’interfaccia utente e alla distribuzione di payload aggiuntivi come miner o blocker.
La distribuzione non si limita a GitHub. WebRAT circola anche tramite software pirata e cheat per giochi come Roblox, Counter Strike e Rust, strumenti di presunto rilevamento cheat e falsi fix per applicazioni bloccate come Discord. Link agli archivi malevoli compaiono su siti pirata e persino nei commenti YouTube, ampliando la platea delle vittime.
Secondo Solar 4RAYS, che monitora WebRAT almeno da gennaio 2025, il malware è attivamente discusso su forum criminali, dove vengono citati casi reali di utilizzo per ricatti, swatting e compromissione di informazioni personali e aziendali. La combinazione tra furto dati e sorveglianza visiva rende WebRAT uno strumento particolarmente pericoloso anche al di fuori del cybercrime tradizionale.
Supply chain, fiducia e nuove superfici di attacco
L’elemento che accomuna Shai-Hulud e WebRAT non è soltanto l’uso di GitHub e npm, ma la trasformazione della fiducia in un’arma offensiva. Gli sviluppatori sono abituati a considerare pacchetti open source e repository pubblici come risorse affidabili, soprattutto quando presentano metriche di utilizzo e descrizioni tecniche coerenti.
Nel caso di Shai-Hulud la compromissione diretta della supply chain npm consente agli attaccanti di colpire pipeline CI/CD e ambienti di sviluppo, ottenendo segreti riutilizzabili per attacchi a cascata. WebRAT sfrutta invece l’urgenza generata dalla divulgazione di vulnerabilità, attirando vittime che cercano exploit o strumenti di test e trasformandole in bersagli.
L’uso di contenuti generati da AI nei repository fraudolenti abbassa ulteriormente la soglia di attenzione. Le descrizioni risultano convincenti e tecnicamente coerenti, mentre archivi protetti da password e dropper multi-stage completano un quadro in cui le difese basate su firma risultano spesso inefficaci.
Le implicazioni vanno oltre il singolo incidente. La fiducia nell’ecosistema open source viene progressivamente erosa, spostando la responsabilità della sicurezza sugli utilizzatori finali e sulle organizzazioni che integrano codice di terze parti. La rimozione dei repository malevoli non è sufficiente, poiché nuove istanze emergono rapidamente con minime variazioni.
Un ecosistema sotto pressione nel 2025
Nel 2025 Shai-Hulud e WebRAT rappresentano due manifestazioni complementari della stessa tendenza. Da un lato la compromissione silenziosa e tecnica della supply chain, dall’altro la diffusione aggressiva tramite esche credibili. Entrambe sfruttano piattaforme collaborative globali, trasformandole in moltiplicatori di impatto.
Per sviluppatori e aziende la lezione è chiara. Il monitoraggio continuo dei pacchetti, la verifica delle dipendenze, l’uso di ambienti isolati per testare codice non fidato e l’analisi comportamentale diventano elementi imprescindibili. La sicurezza non può più essere delegata alla reputazione di una piattaforma o al numero di stelle di un repository.
Shai-Hulud dimostra come anche un pacchetto poco scaricato possa diventare il banco di prova di campagne future più ampie, mentre WebRAT evidenzia la facilità con cui l’interesse per la sicurezza può trasformarsi in vettore di infezione. In un contesto in cui l’open source è centrale per l’innovazione, la vigilanza diventa il prezzo della collaborazione.
Domande frequenti su Shai-Hulud e WebRAT
Che cos’è Shai-Hulud
Shai-Hulud è un worm progettato per compromettere la supply chain JavaScript attraverso pacchetti npm infetti, con l’obiettivo di rubare segreti e propagarsi tramite token compromessi.
Perché Shai-Hulud usa GitHub per l’esfiltrazione
L’uso di repository GitHub consente di nascondere il traffico malevolo all’interno di servizi legittimi e di ridurre la probabilità di blocco automatico.
Che tipo di malware è WebRAT
WebRAT è una backdoor commerciale con capacità di furto dati, sorveglianza tramite webcam e controllo remoto del sistema infetto.
In che modo WebRAT si diffonde tramite GitHub
WebRAT viene distribuito attraverso repository falsi presentati come proof-of-concept di vulnerabilità reali, inducendo le vittime a eseguire archivi malevoli.
Iscriviti alla Newsletter
Non perdere le analisi settimanali: Entra nella Matrice Digitale.
Matrice Digitale partecipa al Programma Affiliazione Amazon EU. In qualità di Affiliato Amazon, ricevo un guadagno dagli acquisti idonei. Questo non influenza i prezzi per te.
