Roblox, npm e Adform trasformano software e script affidabili in malware

🛡️ Executive Summary

• Un falso installer di Xeno Executor distribuisce un infostealer Java e un RAT attraverso community frequentate dai giocatori di Roblox.
• Diciotto pacchetti npm concatenano più dipendenze per installare un RAT multipiattaforma sui sistemi Windows, Linux e macOS degli sviluppatori.
• Lo script Adform compromesso sostituiva nel browser gli indirizzi Bitcoin, Ethereum e Tron con wallet controllati dagli attaccanti.

Tre campagne distinte mostrano come gli attaccanti stiano sfruttando la fiducia riposta in software, repository e componenti web apparentemente legittimi. Un falso launcher Xeno Executor attira i giocatori di Roblox e installa malware capace di rubare credenziali e controllare il computer. Un gruppo di 18 pacchetti npm distribuisce invece le funzioni malevole attraverso una catena di dipendenze, fino all’esecuzione di un RAT multipiattaforma. Nel terzo caso, la compromissione di uno script condiviso da Adform ha permesso di modificare direttamente nel browser gli indirizzi dei wallet Bitcoin, Ethereum e Tron. Le tre operazioni non sfruttano una singola vulnerabilità, ma abusano della reputazione di strumenti e infrastrutture già accettati dagli utenti.

Software e componenti affidabili diventano il vettore dell’attacco

Il collegamento tra le tre campagne è la capacità di inserire codice malevolo all’interno di un percorso considerato normale dalla vittima. Nel caso Roblox, l’utente cerca volontariamente un programma per eseguire script personalizzati e avvia direttamente l’installer. Nell’ecosistema npm, lo sviluppatore aggiunge una dipendenza che appare legittima e lascia che il package manager recuperi automaticamente gli altri componenti. Con Adform, invece, la vittima non installa nulla: visita un sito che integra uno script pubblicitario esterno e riceve il codice compromesso insieme alle normali risorse della pagina. Cambiano pubblico e tecnica, ma il principio resta identico: l’attaccante evita di presentare il malware come un file apertamente sospetto e lo colloca dietro un marchio, una libreria o una funzione già riconoscibile. Questa strategia riduce l’efficacia delle difese basate esclusivamente sulla consapevolezza dell’utente, perché l’elemento malevolo viene distribuito attraverso un’azione apparentemente coerente con ciò che la persona stava tentando di fare.

Il falso Xeno Executor colpisce i giocatori di Roblox

L’installer distribuisce stealer e accesso remoto

La prima campagna imita Xeno Executor, uno strumento utilizzato per eseguire script all’interno di Roblox, anche allo scopo di automatizzare azioni o attivare cheat. Gli attaccanti promuovono falsi installer attraverso community di gaming, forum, Discord e account compromessi o contraffatti, presentandoli come versioni aggiornate o non rilevabili del launcher. Il file avvia una catena PowerShell che scarica componenti aggiuntivi e installa un infostealer sviluppato in Java, insieme a un RAT capace di mantenere il controllo remoto del sistema. La scelta del bersaglio è coerente con un settore già esposto: nel 2024 Kaspersky aveva rilevato 1,6 milioni di tentativi di attacco contro i giocatori di Roblox, confermando che cheat, mod, generatori di valuta e launcher non ufficiali costituiscono esche particolarmente efficaci.

Secondo l’analisi tecnica della campagna Powercat pubblicata da ThreatLocker, il malware raccoglie dati da browser, Discord, Telegram, client di gioco e wallet di criptovalute, oltre a cercare informazioni utilizzabili per compromettere altri account. Il RAT amplia l’impatto perché consente di eseguire comandi, scaricare ulteriori payload e controllare la macchina dopo il furto iniziale.

Gli utenti più giovani rappresentano un bersaglio favorevole non soltanto per la popolarità di Roblox, ma perché spesso utilizzano lo stesso computer per giocare, comunicare, conservare password e accedere agli account familiari. Le truffe rivolte ai giocatori di Roblox e Fortnite mostrano inoltre come gli attaccanti sfruttino siti contraffatti e promesse di vantaggi gratuiti per spingere le vittime oltre gli avvisi del browser e dell’antivirus.

Diciotto pacchetti npm costruiscono un RAT multipiattaforma

Le funzioni malevole vengono separate tra più dipendenze

La seconda operazione coinvolge 18 pacchetti npm progettati per apparire innocui quando vengono esaminati individualmente. Il codice necessario all’infezione è distribuito attraverso più moduli collegati: un pacchetto iniziale richiama una dipendenza, questa ne recupera un’altra e la catena ricompone progressivamente le funzioni del malware. La frammentazione riduce la probabilità che una singola scansione statica riconosca immediatamente il comportamento complessivo. I nomi utilizzati imitano strumenti e componenti associati all’ecosistema Alibaba, indicando un targeting rivolto soprattutto agli sviluppatori che lavorano con quelle tecnologie. L’indagine di Socket sul cluster di pacchetti npm ha identificato un RAT capace di operare su Windows, Linux e macOS, adattando i comandi e i percorsi di esecuzione al sistema rilevato.

Il malware raccoglie informazioni sull’host, apre un canale con l’infrastruttura di comando e permette agli operatori di eseguire attività remote. La natura multipiattaforma aumenta il rischio negli ambienti di sviluppo, dove le stesse dipendenze possono essere installate su workstation personali, runner CI/CD, container e server di build. La campagna si inserisce in un ecosistema npm già sottoposto a continue compromissioni. Vibe coding e pacchetti npm infetti hanno mostrato come una dipendenza possa raggiungere wallet e credenziali degli sviluppatori, mentre precedenti pacchetti malevoli avevano già preso di mira direttamente gli sviluppatori dell’ecosistema Roblox.

La difesa non può limitarsi al controllo del nome del pacchetto o alla quantità di download dichiarata. Le organizzazioni devono bloccare automaticamente le dipendenze appena pubblicate, verificare autore, cronologia e repository, utilizzare lockfile immutabili e analizzare anche gli script preinstall, install e postinstall delle dipendenze transitive. Un pacchetto privo di codice apertamente malevolo può comunque costituire il primo anello di una catena progettata per spostare le funzioni pericolose in moduli meno visibili.

Adform sostituisce gli indirizzi crypto nel browser

Lo script condiviso modifica pagine, campi e clipboard

Il terzo incidente riguarda Adform, piattaforma utilizzata da inserzionisti, agenzie e publisher per distribuire e misurare campagne pubblicitarie. Gli attaccanti sono riusciti a modificare trackpoint-async.js, uno script condiviso caricato dai siti che integravano la tecnologia della società. Il codice aggiunto cercava stringhe compatibili con indirizzi Bitcoin, Ethereum e Tron, sostituendole con wallet controllati dagli operatori. L’alterazione non si limitava alla clipboard: il payload poteva intervenire anche sui testi visualizzati nella pagina, sui campi input, sulle aree di testo e sugli elementi modificabili, intercettando operazioni di copia, incolla e digitazione.

Adform ha rilevato e rimosso il codice il 27 luglio 2026, avvisando i clienti coinvolti e segnalando l’incidente alle autorità. La società non ha pubblicato il numero completo dei siti o degli utenti esposti e non risultano conferme sull’ammontare delle eventuali transazioni deviate. Il malware non installava un programma sul computer e non manteneva persistenza dopo la chiusura della pagina, ma il file alterato poteva restare nella cache del browser anche dopo la correzione applicata sul server. Per questo Adform ha raccomandato di svuotare la cache e controllare le destinazioni delle operazioni effettuate durante il periodo di esposizione.

L’incidente dimostra che uno script di advertising non è una risorsa passiva: viene eseguito nel browser e può interagire con il contenuto della pagina secondo i privilegi concessi dall’integrazione. La compromissione di un solo file condiviso permette quindi di raggiungere molti siti downstream senza violarli individualmente. Il rischio riguarda in particolare le operazioni crypto, dove una transazione inviata a un indirizzo errato non può essere annullata. Le minacce strutturali contro wallet ed estensioni Web3 confermano che la verifica dell’indirizzo deve avvenire sul dispositivo di firma e non soltanto nella pagina web o nella clipboard.

La supply chain estende l’attacco oltre la prima vittima

Le tre campagne colpiscono punti differenti della catena digitale. Il falso Xeno Executor sfrutta la fiducia nel nome di un programma; i pacchetti npm abusano dell’automazione con cui gli sviluppatori installano dipendenze; lo script Adform trasforma un fornitore esterno in un vettore verso i visitatori dei siti clienti. In tutti i casi il controllo deve spostarsi dal singolo file all’intero percorso di distribuzione. Gli utenti Roblox devono evitare executor e cheat scaricati da community non ufficiali, controllare sessioni e token di Discord e cambiare le credenziali da un dispositivo pulito dopo un’infezione. I team di sviluppo devono limitare le dipendenze, applicare periodi di quarantena alle nuove versioni e impedire agli script di installazione di accedere liberamente a rete e segreti. I gestori dei siti devono inventariare gli script di terze parti, adottare Content Security Policy, Subresource Integrity quando applicabile e procedure rapide per revocare componenti compromessi. La fiducia in un marchio o in un repository non può più sostituire la verifica tecnica del codice che viene realmente eseguito.