In Breve

• Il verme Shai-Hulud ha infettato centinaia di pacchetti npm, prendendo di mira strumenti di sviluppo molto diffusi.
• I segreti di oltre 25.000 sviluppatori sono stati compromessi e pubblicati su GitHub in pochi giorni.
• Il verme ha utilizzato tecniche sofisticate di evasione e automazione per rubare credenziali e diffondersi rapidamente.
• Tra le vittime di alto profilo figurano Zapier, ENS Domains, Postman e AsyncAPI.
• Gli esperti di sicurezza sollecitano una bonifica urgente e misure di autenticazione più rigorose lungo tutta la supply chain del software.

Il Verme Sotterraneo: Anatomia di un Colpo su npm

Immaginate un verme delle sabbie che scava silenziosamente sotto una città del deserto in fermento, erompendo all’improvviso e inghiottendo tutto ciò che trova. Questo è il caos digitale che il verme Shai-Hulud ha scatenato sull’ecosistema dei pacchetti npm questo novembre. In soli tre giorni, ha compromesso i segreti di oltre 25.000 sviluppatori, lasciando dietro di sé una scia di credenziali esposte, codice rubato e una comunità open-source scossa.

Individuato per la prima volta nel settembre 2025, Shai-Hulud non è un malware qualunque. È un verme auto-propagante, cioè in grado di diffondersi da un pacchetto all’altro senza intervento umano. Quest’ultimo attacco-battezzato “Shai-Hulud 2.0”-è stato più grande, più veloce e più intelligente, prendendo di mira centinaia di pacchetti npm molto utilizzati. Strumenti e librerie popolari tra gli sviluppatori come Zapier, ENS Domains, Postman e AsyncAPI sono finiti tutti nel raggio d’azione.

Come si è Svolto l’Attacco

Il verme si è insinuato nell’ecosistema iniettandosi in pacchetti legittimi. Una volta installato, si attivava nella fase di pre-installazione-prima ancora che gli sviluppatori si accorgessero di cosa stava succedendo. Come un ladro che trova una chiave nascosta, Shai-Hulud scandagliava alla ricerca di informazioni sensibili: token GitHub, credenziali npm, chiavi cloud per AWS, Azure e Google Cloud. Se riusciva nell’intento, raccoglieva questi segreti e li pubblicava su repository GitHub pubblici con nomi minacciosi come “Sha1-Hulud: The Second Coming”.

Dal punto di vista tecnico, il verme si nascondeva in due file: un installer camuffato e un payload pesantemente offuscato che ingannava la maggior parte degli strumenti di rilevamento. Automatizzava la sua diffusione modificando altri pacchetti gestiti dalla vittima, assicurando così una crescita esponenziale della catena di infezione. Se non venivano soddisfatte certe condizioni, arrivava persino a cancellare la home directory della vittima-una tattica di terra bruciata nel mondo digitale.

Attacchi alla Supply Chain: Una Minaccia in Crescita

Shai-Hulud è parte di una tendenza preoccupante. Gli attacchi alle supply chain del software-dove la fiducia nel codice condiviso viene sfruttata per colpire migliaia di utenti-sono aumentati vertiginosamente negli ultimi anni. La capacità di questo verme di propagarsi, rubare e distruggere con un intervento umano minimo stabilisce un nuovo standard per gli attaccanti. L’uso di strumenti legittimi come TruffleHog per cercare segreti è particolarmente allarmante, perché sfuma il confine tra utility utili e vettori d’attacco.

Ricercatori di aziende come Wiz, Step Security e Aikido Security hanno monitorato centinaia di account e pacchetti npm infetti. GitHub si è affrettata a cancellare i repository che trapelavano segreti, ma il verme era sempre un passo avanti. In risposta, GitHub e i manutentori di npm stanno implementando nuove misure: autenticazione più rigorosa, durata dei token più breve e disabilitazione predefinita degli script rischiosi. Ma, come in ogni corsa agli armamenti, i difensori sono costretti a inseguire.

WIKICROOK

• npm: npm è una libreria online centrale dove gli sviluppatori condividono, aggiornano e gestiscono pacchetti di codice JavaScript per costruire software in modo efficiente e sicuro.
• Verme: Un verme è un malware auto-replicante che si diffonde attraverso le reti senza intervento dell’utente, sfruttando vulnerabilità per infettare più computer.
• Pre: Un pre è una fuga illegale di contenuti digitali prima della loro uscita ufficiale, spesso causando danni economici e reputazionali a creatori o aziende.
• Segreti: I segreti sono dati sensibili come password, chiavi API o token che, se esposti, possono permettere agli attaccanti di accedere a sistemi privati o dati riservati.
• Attacco alla Supply Chain: Un attacco alla supply chain è un attacco informatico che compromette fornitori di software o hardware affidabili, diffondendo malware o vulnerabilità a molte organizzazioni contemporaneamente.