Atacatori cibernetici abuzează de registrul npm și de mirror-urile sale pentru a găzdui pagini HTML malițioase care se prezintă drept verificări Cloudflare CAPTCHA și redirecționează vizitatorii către site-uri controlate de atacatori, potrivit unei analize publicate de BleepingComputer și cercetătorilor OX Security.
Ce s-a schimbat
Tehnica nu urmărește, în acest caz, infectarea directă a computerelor dezvoltatorilor care instalează pachetele. În schimb, npm este folosit ca spațiu de stocare pentru pagini de phishing, iar platforme de tip mirror precum UNPKG și npmmirror copiază automat conținutul. Pentru că unele dintre aceste servicii permit accesarea directă, în browser, a fișierelor individuale dintr-un pachet, ele ajung să funcționeze ca un fel de găzduire web pentru pagini malițioase.
Cum funcționează campania
Potrivit OX Security, una dintre mostrele analizate conținea doar două fișiere: un index.html și un package.json care desemna fișierul HTML drept fișier principal al pachetului. Când pachetul este reflectat de UNPKG, pagina poate fi deschisă direct printr-un URL de forma https://unpkg[.]com/ndmxchdjxn2@1.0.0/index[.]html, iar conținutul este randat din domeniul legitim unpkg.com, nu din infrastructura atacatorului.
Acest detaliu contează pentru că poate complica filtrarea de securitate: traficul pare să provină de la un domeniu de încredere, chiar dacă pagina afișată este construită pentru phishing. OX Security descrie această metodă drept o modalitate de a transforma mirror-urile npm în „free frontend hosts” pentru HTML malițios și, posibil, pentru alte tipuri de payload-uri.
De la CAPTCHA fals la redirecționări ascunse
Pagina malițioasă imită o verificare de securitate Cloudflare și încorporează serviciul legitim Turnstile CAPTCHA. Indiferent dacă verificarea reușește sau nu, pagina execută JavaScript puternic obfuscat care redirecționează vizitatorul către o altă destinație.
Într-o etapă anterioară a campaniei, redirecționările au dus către microcloud[.]homes, iar în august către login[.]microsofte[.]live, au spus cercetătorii OX Security. Unele dintre primele redirecționări din iulie au ajuns, în cele din urmă, la pagina legitimă de autentificare Microsoft Outlook, iar BleepingComputer a confirmat că una dintre paginile găzduite prin UNPKG încă redirecționa către acel domeniu. Domeniul nu este activ în prezent, dar ar putea fi folosit pentru o pagină falsă de autentificare Microsoft.
În alte cazuri, atacatorii au schimbat metoda de redirecționare și au folosit api.keyval.org, o platformă legitimă pentru stocarea de valori de tip key-value. Conform cercetătorilor, codul nou extrage o valoare criptată din serviciu, o decriptează în browser și apoi trimite utilizatorul către URL-ul rezultat. Avantajul pentru atacatori este că pot modifica de la distanță destinația fără să reposteze pachetul npm.
De ce contează pentru utilizatori și echipele de securitate
Riscul principal nu este instalarea pachetului, ci deschiderea directă a fișierului HTML găzduit printr-un mirror aparent de încredere. În funcție de destinația configurată, pagina poate trimite utilizatorii către site-uri de phishing, descărcări malițioase sau alte infrastructuri controlate de atacatori.
OX Security avertizează și că pachetele npm pot rămâne disponibile pe mirror-uri chiar și după ce sunt eliminate din registrul oficial npm. Asta înseamnă că simpla ștergere din sursa principală nu garantează dispariția imediată a conținutului din toate copiile publice.
În acest context, cercetătorii recomandă tratarea cererilor directe de HTML către domenii mirror ale npm ca fiind potențial suspecte. Mesajul de fond este unul familiar pentru echipele de securitate: infrastructura legitimă poate fi folosită ca vehicul pentru livrarea de pagini de phishing, iar verificarea reputației domeniului nu este întotdeauna suficientă.
Ce urmează
Campania arată că atacatorii continuă să caute metode noi de a ascunde conținut malițios în servicii publice și validate, nu doar în infrastructuri evident suspecte. Pentru organizații, asta înseamnă că monitorizarea trebuie să includă nu doar fișiere descărcate, ci și pagini HTML deschise direct din ecosisteme de tip package registry și mirror.
În lipsa unor controale suplimentare, astfel de pagini pot rămâne accesibile și pot fi reutilizate rapid pentru noi redirecționări, fără a schimba neapărat pachetul original. Tocmai această flexibilitate le face utile pentru campanii de phishing care urmăresc să se adapteze rapid la blocări și la detectarea de către instrumentele de securitate.