Un recente caso di supply chain attack su npm ha mostrato quanto sia facile colpire gli sviluppatori tramite un pacchetto malevolo mascherato da installer di OpenClaw. Il pacchetto npm con nome simile a un componente legittimo veniva distribuito come strumento da riga di comando e sfruttava un meccanismo tipico dell’ecosistema Node.js per attivarsi subito dopo l’installazione. La minaccia prendeva di mira soprattutto macOS e puntava a rubare credenziali e dati sensibili, installando anche un RAT con funzionalità avanzate.

Il comportamento dannoso partiva da un postinstall hook che avviava una reinstallazione globale del pacchetto, rendendolo disponibile nel PATH grazie al campo bin del file package.json. In pratica, l’utente credeva di installare un normale installer, ma in realtà eseguiva uno script che fungeva da dropper. La prima fase mostrava una finta interfaccia CLI con barre di avanzamento per aumentare la credibilità, poi presentava una richiesta di autorizzazione tipo iCloud Keychain, inducendo l’utente a inserire la password di sistema. Questa tecnica di social engineering è particolarmente efficace per aggirare la diffidenza anche di chi lavora quotidianamente con terminale e pacchetti open source.

In parallelo, lo script scaricava da un server di comando e controllo un secondo payload JavaScript cifrato, lo decodificava e lo eseguiva come processo separato in background, cancellando il file temporaneo dopo breve tempo per ridurre le tracce. Se alcune cartelle non erano accessibili, veniva mostrata una finestra che guidava l’utente a concedere Full Disk Access al Terminale, aumentando drasticamente la quantità di dati sottraibili.

La seconda fase includeva funzioni tipiche di un info stealer e di un remote access trojan, con persistenza, comunicazione C2, proxy SOCKS5 e persino clonazione di sessioni browser. I dati presi di mira comprendevano macOS Keychain, credenziali e cookie dei browser Chromium, wallet crypto e seed phrase, chiavi SSH, credenziali cloud e di sviluppo, oltre a dati protetti da Full Disk Access come Note, iMessage, Safari e Mail. L’esfiltrazione avveniva tramite più canali, inclusi servizi esterni e API di messaggistica. Una componente di monitoraggio clipboard cercava pattern legati a chiavi private e token, aumentando il rischio di furto di criptovalute e accessi ad account.