Portafogli crittografici presi di mira nell'attacco alla catena di fornitura npm legato a SAP

Quattro pacchetti npm collegati al Cloud Application Programming Model di SAP sono stati rubati. Gli hacker hanno aggiunto codice che ruba portafogli crittografici, credenziali cloud e chiavi SSH dagli sviluppatori.

Secondo un rapporto di Socket, le versioni dei pacchetti interessate includono:

• [email protected].
• @cap-js/[email protected].
• @cap-js/[email protected].
• @cap-js/[email protected].

Questi pacchetti insieme ricevono circa 572.000 download a settimana dalla comunità di sviluppatori SAP.

I pacchetti npm rubano credenziali cloud e portafogli crittografici

I ricercatori di sicurezza hanno spiegato che i pacchetti compromessi preinstallano uno script che scarica ed esegue un binario del runtime Bun da GitHub. Successivamente, esegue un payload JavaScript offuscato di 11,7 MB.

I file sorgente SAP originali sono ancora presenti, ma ci sono tre nuovi file aggiuntivi:

• un package.json modificato.
• setup.mjs.
• execution.js.

Questi file sono stati datati ore dopo il codice reale. Questo dimostra che i tarball sono stati modificati dopo essere stati scaricati da una fonte reale.

Socket l'ha definita "un forte segnale di una campagna di iniezione coordinata e automatizzata" in cui lo script del loader è byte-identico in tutti e quattro i pacchetti, anche se si trovano in due namespace diversi.

Quando il payload viene eseguito, verifica se il sistema è impostato sul russo e si interrompe se lo è. Successivamente, si dirama a seconda che trovi un ambiente CI/CD, controllando 25 variabili di piattaforma, come GitHub Actions, CircleCI e Jenkins, o una postazione di lavoro dello sviluppatore.

Sui computer degli sviluppatori, il malware legge oltre 80 tipi diversi di file di credenziali. Questi includono chiavi private SSH, credenziali AWS e Azure, configurazioni Kubernetes, token npm e Docker, file di ambiente e portafogli crittografici su undici piattaforme diverse. Prende di mira anche i file di configurazione per strumenti AI come le impostazioni Claude e Kiro MCP.

Il payload ha due livelli di crittografia. Una funzione chiamata `__decodeScrambled()` utilizza PBKDF2 con 200.000 iterazioni SHA-256 e un salt chiamato “ctf-scramble-v2” per ottenere le chiavi necessarie per decrittografare qualcosa.

Il nome della funzione, l'algoritmo, il salt e il numero di iterazioni sono gli stessi presenti nei payload precedenti di Checkmarx e Bitwarden. Questo suggerisce che gli stessi strumenti vengono utilizzati in più campagne.

Socket sta monitorando l'attività sotto il nome “TeamPCP” e ha creato una pagina di tracciamento separata per quella che definisce la campagna “mini-shai-hulud”.

Gli hacker prendono di mira persistentemente gli sviluppatori crittografici

La compromissione del pacchetto SAP è la più recente in una serie di attacchi alla catena di fornitura che utilizzano i gestori di pacchetti per rubare le credenziali degli asset digitali.

Come riportato da Cryptopolitan in quel momento, i ricercatori hanno trovato cinque pacchetti npm con typosquatting a marzo 2026 che hanno rubato le chiavi private dagli sviluppatori di Solana ed Ethereum e le hanno inviate a un bot di Telegram.

ReversingLabs ha trovato una campagna chiamata PromptMink un mese dopo. In questa campagna, un pacchetto malevolo chiamato @validate-sdk/v2 è stato aggiunto a un progetto di trading crittografico open source attraverso un commit generato dall'IA.

La copertura di Cryptopolitan sui risultati di ReversingLabs indica che l'attacco, collegato al gruppo sponsorizzato dallo Stato nordcoreano Famous Chollima, ha preso di mira specificamente le credenziali dei portafogli crittografici e i segreti di sistema.

L'attacco SAP è diverso per dimensioni e direzione. Invece di creare pacchetti falsi con nomi simili a quelli reali, gli aggressori sono entrati in pacchetti reali e ampiamente utilizzati che erano mantenuti sotto il namespace di SAP.

I ricercatori di sicurezza raccomandano che i team che utilizzano pipeline di distribuzione SAP CAP o MTA controllino immediatamente i loro lockfile per le versioni interessate.

Gli sviluppatori che hanno installato questi pacchetti durante la finestra di esposizione dovrebbero modificare eventuali credenziali e token che potrebbero essere stati disponibili nei loro ambienti di build e controllare i log CI/CD per eventuali richieste di rete impreviste o esecuzione di binari.

Secondo i ricercatori, almeno una versione interessata, @cap-js/[email protected], sembra essere stata già rimossa da npm.