Verme npm collegato a Keyv avvelena i pacchetti e prende di mira gli strumenti per sviluppatori

Un attacco di recente identificazione sull'ecosistema npm sta destando allarme tra sviluppatori e operatori di siti web. Secondo quanto riportato, un verme collegato alla popolare libreria Keyv, un key-value store, ha avvelenato centinaia di pacchetti npm. Il payload dannoso è progettato per inserire hook in Claude Code e Visual Studio Code (VS Code), due strumenti ampiamente utilizzati nei flussi di lavoro dello sviluppo software.

La libreria Keyv è un key-value store open-source per Node.js, comunemente utilizzato per la cache e l'archiviazione dei dati nelle applicazioni web. Collegandosi ai pacchetti associati a Keyv, il verme può diffondersi rapidamente attraverso le catene di dipendenze, potenzialmente colpendo un'ampia gamma di progetti che si affidano a questi moduli. Una volta installato, il malware inietta hook negli ambienti di sviluppo, consentendo agli attaccanti di eseguire codice arbitrario quando gli sviluppatori compilano o eseguono i loro progetti.

Per i proprietari di siti web e i team IT, questo incidente sottolinea il pericolo persistente dei compromessi della supply chain. I pacchetti infetti possono portare a backdoor nei sistemi di produzione, furti di dati o ulteriore propagazione attraverso le reti interne. Gli sviluppatori che utilizzano pacchetti npm nei loro progetti web devono esaminare attentamente le dipendenze e monitorare comportamenti insoliti, soprattutto in strumenti come VS Code che sono parte integrante del processo di sviluppo.

AEU Hosting offre hosting WordPress gestito con sicurezza al primo posto, isolando gli ambienti dei clienti e applicando un monitoraggio rigoroso per rilevare anomalie che potrebbero derivare da dipendenze compromesse. Mantenendo una piattaforma di hosting robusta, AEU aiuta a proteggere i siti web dagli effetti collaterali di attacchi alla supply chain come questo verme npm.