Il Worm che Non Muore Mai: Shai-Hulud Torna Più Forte e Infetta l’Ecosistema npm

L'ecosistema npm ha affrontato una serie di attacchi sofisticati, tra cui il malware autoreplicante Shai-Hulud. Questi attacchi hanno introdotto nuove tecniche come la propagazione a verme e la persistenza infrastrutturale, rendendo cruciale l'adozione di misure di sicurezza avanzate per mitigare i rischi.

La sicurezza dell’ecosistema npm ha raggiunto un punto di svolta critico con l’emergere del worm Shai-Hulud, riportano i ricercatori di Palo Alto. Si tratta di un malware autoreplicante che compromette e redistribuisce pacchetti malevoli in modo automatizzato.

Unit 42. ha rilevato recentemente, un’accelerazione nella frequenza e nella profondità delle compromissioni della catena di fornitura. Nel mese di aprile 2026 sono state osservate due campagne, la prima, iniziata il 22 aprile che includeva la stringa “Shai-Hulud: The Third Coming”, mentre una seconda, iniziata il 29 aprile, è conosciuta come Mini Shai-Hulud.

In maggio, la campagna Mini Shai-Hulud ha continuato con due nuove ondate attribuite a TeamPCP. Queste campagne hanno introdotto elementi unici, tra cui una tecnica di accesso iniziale senza credenziali e il più alto numero di pacchetti compromessi mai registrato dal worm Shai-Hulud.

Il 1 giugno 2026, un nuovo attacco alla catena di fornitura ha compromesso almeno 32 pacchetti pubblicati sotto lo spazio dei nomi npm @redhat-cloud-services. L’attaccante ha eluso completamente la revisione del codice, spingendo un payload chiamato Miasma.

L’incidente Shai-Hulud ha dimostrato che il registro npm può essere utilizzato come moltiplicatore per la distribuzione di malware. Nei mesi successivi, sono stati osservati tre cambiamenti chiave nelle tattiche, tecniche e procedure (TTPs) degli avversari:

• Propagazione: I payload malevoli ora danno priorità al furto di token npm e GitHub Personal Access Tokens (PATs) per infettare automaticamente e ripubblicare pacchetti legittimi, come visto nella compromissione di Axios di marzo 2026.
• Persistenza a livello infrastrutturale: Gli attaccanti non rubano solo dati; si integrano nei pipeline CI/CD per ottenere accesso a lungo termine e indistruttibile agli ambienti aziendali.
• Payload multi-stadio: Seguendo il modello di settembre 2025, gli attacchi attuali spesso distribuiscono dipendenze “sleeper” che si attivano solo in condizioni ambientali specifiche per evitare scanner automatizzati.

Le compromissioni npm mostrano temi comuni. Nella post-Shai-Hulud era, è utile considerare la superficie dell’attacco nel suo complesso. 

Un pacchetto npm malevolo pubblicato come @bitwarden/cli versione 2026.4.0 è stato successivamente identificato come una parte di una più ampia campagna di supply chain attribuita al threat actors TeamPCP. Il pacchetto imita l’interfaccia a riga di comando (CLI) del gestore delle password Bitwarden. All’installazione, viene eseguito un payload multi-stadio, il quale ruba le credenziali da fornitori cloud, sistemi CI/CD e workstation degli sviluppatori, e tenta di auto-propagandosi attraverso backdoor su ogni pacchetto npm che la vittima può pubblicare.

Gli attaccanti hanno distribuito il payload attraverso diversi canali di distribuzione Checkmarx, lasciando pensare ad una campagna coordinata per sfruttare credenziali, strumenti di sviluppo e per massimizzare l’area di impatto.

Il 1 giugno 2026, 32 pacchetti pubblicati sotto lo spazio dei nomi npm @redhat-cloud-services sono stati compromessi. Sembrerebbe che la causa principale è stata un account GitHub di un dipendente Red Hat che è stato compromesso, utilizzato per effettuare commit all’interno di più repository RedHatInsights, bypassando la revisione del codice.

L’attaccante ha attivato i workflows GitHub Actions, che serve per richiedere token OpenID Connect (OIDC), pubblicando pacchetti trojanizzati. Il payload è stato chiamato con il nome di Miasma, ed è derivato dal malware Mini Shai-Hulud open-sourced. Le credenziali rubate contengono dei token GitHub, npm tokens e chiavi SSH, nonché credenziali AWS, GCP e Azure.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response