Malware npm ruba i dati delle estensioni Chrome da 13 pacchetti

Un nuovo lotto di malware npm, in totale 13 pacchetti, viene usato per diffondere un ladro JavaScript mai documentato prima, che il gruppo di ricerca OpenSourceMalware ha chiamato WeaselBiscuit. npm è il registro pubblico dei pacchetti che gli sviluppatori JavaScript e Node.js usano per inserire librerie di codice già pronte nei loro progetti, e chiunque installi uno dei pacchetti colpiti esegue il codice degli attaccanti sul proprio computer.

I 13 nomi dei pacchetti segnalati da OpenSourceMalware sono @biz44/id10-client, @biz44/id12-client, @biz44/id44-client, @biz44/id79-client, @biz44/id95-client, @biz44/id99-client, @biz44/process-runtime-utils, @biz44/runtime-utils, engin1, id79-client, process-lhpm, process-mite e process-tailwind. Questo è un attacco alla catena di fornitura nel senso più semplice: non c'è nulla da violare, perché il codice malevolo si trova in una libreria che lo sviluppatore sceglie di scaricare, e poi viene eseguito con i permessi dello sviluppatore stesso.

La catena inizia con una singola istruzione di importazione. Aggiungendo uno di questi pacchetti a un progetto e importandolo, viene eseguito un file loader, loader.js. Quel loader scarica il malware principale da un dead drop ospitato su Npoint, un servizio online leggero per memorizzare dati JSON, e lo esegue direttamente in memoria invece di salvarlo su disco. L'esecuzione in memoria rende il codice più difficile da individuare con le normali scansioni dei file. Una volta attivo, il programma risolve la sua configurazione di command-and-control (C2) da un secondo URL Npoint. Un server C2 è una macchina remota che il malware contatta per ricevere ordini. Il ladro poi profila l'host infetto, raccogliendo dettagli sulla macchina, e raccoglie i dati di archiviazione delle estensioni Chrome su Windows, macOS e Linux.

L'archiviazione delle estensioni Chrome è l'area dati privata dove i componenti aggiuntivi del browser conservano le loro impostazioni e lo stato salvato, incluse eventuali credenziali di accesso o informazioni sul portafoglio che un particolare componente aggiuntivo detiene. Paul McCarty, il ricercatore di sicurezza noto anche come 6mile, ha spiegato che anche senza gli strumenti per il furto di criptovalute presenti nei parenti più grandi del malware, questa capacità ha un valore finanziario reale, perché può esporre lo stato salvato di un'estensione portafoglio o altri dati sensibili memorizzati da un componente aggiuntivo. L'ha descritta come il caricamento in un colpo solo di ogni file leggibile e non vuoto sotto la directory Local Extension Settings dell'estensione, che è un archivio grezzo di chiavi e valori LevelDB. A seconda dei comandi che gli operatori inviano dal server C2 all'indirizzo 103.170.217[.]184:8787, il malware può anche registrare il contenuto degli appunti e i tasti premuti sulle macchine Windows.

Ciò che colpisce i ricercatori è quanto poco faccia WeaselBiscuit. Non ha funzione di accesso remoto, nessun meccanismo di persistenza per sopravvivere a un riavvio, nessun codice per svuotare portafogli di criptovalute e nessuna capacità di consegnare payload successivi come InvisibleFerret, che sono gli strumenti extra che alcuni ladri rilasciano su una macchina dopo la prima fase. McCarty l'ha descritto come più piccolo, più leggero e ridotto all'essenziale rispetto ai suoi parenti, con molte delle funzioni più pesanti rimosse del tutto. Jenn Gile, co-fondatrice di OpenSourceMalware, ha dichiarato in una nota che il codice prende in prestito diverse funzioni da due famiglie di malware note ma è molto più piccolo e autonomo, e che da qui deriva il nome, dato che una donnola è più piccola di una lontra e i biscotti sono meno elaborati dei cookie.

Le due famiglie da cui prende in prestito sono BeaverTail e OtterCookie, entrambe associate alla campagna Contagious Interview, che OpenSourceMalware collega alla Repubblica Popolare Democratica di Corea. BeaverTail è il nome dato a un malware multipiattaforma per il furto di informazioni e downloader, usato almeno dalla fine del 2022 contro sviluppatori software, professionisti IT e utenti di criptovalute. OtterCookie unisce il furto di informazioni all'accesso remoto, permettendo ai suoi operatori di eseguire comandi su una macchina infetta, ed è stato documentato pubblicamente per la prima volta da NTT Security Holdings nel dicembre 2024.

Nonostante la chiara sovrapposizione con quegli strumenti, OpenSourceMalware ha sottolineato che nulla nelle prove finora risolve la questione di chi ci sia dietro WeaselBiscuit. Secondo le sue parole, non c'è prova definitiva nell'infrastruttura degli operatori, nella vittimologia, nei metadati della campagna o nel materiale di firma che attribuirebbe in modo conclusivo il malware alla Corea del Nord. Questa distinzione è importante: la somiglianza funzionale tra due pezzi di codice può derivare da una fonte condivisa, da codice copiato o da un'imitazione deliberata, e non è la stessa cosa della prova di paternità.

I ricercatori indicano diversi segnali di tradecraft che si adatterebbero allo stesso quadro. L'uso di Npoint.io è stato segnalato da NVISO nel novembre 2025 in relazione all'attività di Contagious Interview. Il malware esegue ricerche nidificate di indirizzi IP pubblici e geolocalizzazione tramite api.ipify.org e ip-api.com. La sua architettura C2 assomiglia a quella di OtterCookie. E ogni installazione è contrassegnata da un ID di campagna numerico dall'insieme 10, 12, 44, 79, 95 e 99, rispecchiando un pattern visto con PolinRider. Questi sono gli stessi numeri incorporati in diversi nomi dei pacchetti.

Se WeaselBiscuit venisse eventualmente confermato come parte di quell'arsenale, non sarebbe il primo tentativo di fondere caratteristiche delle due famiglie più vecchie. Nell'ottobre 2025, Cisco Talos ha dichiarato di aver identificato un pacchetto npm chiamato node-nvm-ssh che portava caratteristiche sia di BeaverTail che di OtterCookie, sfumando la linea tra loro.

Per i proprietari di siti web, le agenzie e i team IT, la lezione pratica riguarda da dove proviene il codice. Strumenti di build, temi, plugin e script interni attingono regolarmente a pacchetti da registri pubblici, e ogni pacchetto è codice che viene eseguito su un portatile di uno sviluppatore, su un server di build o su un account di hosting con qualunque accesso abbia quell'account. Un ladro che legge i dati dei componenti aggiuntivi del browser è anche un promemoria di quanto materiale sensibile si trovi su normali workstation piuttosto che in un sistema centrale monitorato. I team che desiderano assistenza per rivedere come il software raggiunge le loro macchine e i loro server, e come è impostata la loro pipeline di sviluppo, possono guardare AEU-I, che fornisce IT, infrastruttura e consulenza con la sicurezza al primo posto. I dettagli di quel servizio sono pubblicati su aeu-i.com.

L'incidente non è collegato a un difetto di Chrome stesso, e non coinvolge un bug che un fornitore possa correggere nel modo usuale. Il rischio viene rimosso non installando i pacchetti colpiti e rimuovendoli dove sono già presenti, ed è per questo che OpenSourceMalware ha pubblicato l'elenco completo dei nomi invece di solo una descrizione del malware.