Marcus Chen, YuSMP Group
Marcus Chen Staff Engineer (Backend & Cloud), YuSMP Group · Segue sicurezza delle pipeline CI/CD e architetture cloud per i team che costruiscono prodotti software in UE
Visualizzazione astratta di un worm malware che si propaga attraverso un grafo di dipendenze npm, con nodi rossi che si espandono e credenziali che fuoriescono come particelle luminose, su sfondo scuro

La risposta breve

Il 4 agosto 2026 un worm chiamato ChainDrop ha avvelenato 444 pacchetti npm in quattro ore, colpendo librerie usate da miliardi di installazioni mensili — tra cui keyv, flat-cache e file-entry-cache. Il malware non voleva distruggere i progetti: voleva le credenziali dei team. Una volta installato tramite un hook preinstall silenzioso, rubava token npm e GitHub, chiavi AWS/Azure/GCP, segreti Kubernetes e Vault, poi usava quelle chiavi per pubblicare versioni malevole di altri pacchetti, propagandosi a catena.

Se il tuo team ha eseguito npm install tra il 4 e il 6 agosto — o se le tue pipeline CI/CD aggiornano automaticamente le dipendenze patch — devi verificare e ruotare le credenziali. L'Agenzia per la Cybersicurezza Nazionale ha emesso un advisory ufficiale.

Cosa e successo il 4 agosto

Alle prime ore del 4 agosto 2026 (UTC), i ricercatori di sicurezza hanno rilevato versioni anomale del pacchetto keyv — una libreria di caching per Node.js con oltre 150 milioni di installazioni settimanali — pubblicate sull'npm registry. Nel giro di poche ore era chiaro che si trattava di un worm auto-propagante: ChainDrop non aspettava che i manutentori di altri pacchetti facessero errori — usava le credenziali rubate per pubblicare lui stesso versioni malevole dei pacchetti che quelle credenziali controllavano.

Il gruppo dietro l'attacco e lo stesso TeamPCP, gia noto per la campagna Mini Shai-Hulud di aprile-maggio 2026 che aveva colpito il repository SAP e poi TanStack. ChainDrop e la terza ondata, la piu veloce e automatizzata di tutte.

Come funziona ChainDrop

Il meccanismo di infezione si articola in tre fasi distinte:

1. Punto di ingresso: hook preinstall

Ogni versione avvelenata contiene un hook preinstall nel file package.json. Quando npm (o qualsiasi gestore compatibile) installa il pacchetto, esegue automaticamente questo script prima del codice del pacchetto stesso — senza che lo sviluppatore o la pipeline lo veda in modo esplicito.

2. Furto di credenziali

Il payload, un file JavaScript pesantemente offuscato compilato con Bun, raccoglie in sequenza: token npm dal file .npmrc locale e dalle variabili d'ambiente, token di accesso GitHub, credenziali dei principali cloud provider (AWS, Azure, GCP), token Kubernetes e secret di Vault. I dati vengono cifrati con RSA e depositati in repository pubblici creati ad hoc, con un'infrastruttura C2 di fallback dinamica basata su smart contract Ethereum — tecnica nota come EtherHiding — che rende il blocco a livello di rete molto piu difficile.

3. Autopropagazione

Con i token npm rubati, il malware pubblica immediatamente nuove versioni dei pacchetti che quei token possono controllare, iniettando lo stesso payload. Questo e il cuore della logica worm: la velocita di propagazione supera di gran lunga quella della risposta umana.

La scala dell attacco

In meno di quattro ore, ChainDrop ha compromesso:

  • 444 pacchetti npm avvelenati con versioni malevole
  • 2.212 versioni distribuite sul registry
  • Pacchetti con download combinati di oltre due miliardi al mese

Tra le librerie piu scaricate colpite: keyv 6.0.0 (oltre 150M di download settimanali), flat-cache 6.1.24 (149,9M) e file-entry-cache 11.1.6 (147,6M). Questi pacchetti sono dipendenze dirette o transitive di una quota enorme degli strumenti Node.js in uso — ESLint, webpack, strumenti di testing, framework di build.

npm ha revocato le versioni malevole e le organizzazioni vittime hanno ruotato le credenziali nelle ore successive, ma la finestra di esposizione per chi ha eseguito installazioni automatiche nel periodo critico puo essere stata sufficiente per compromettere i token.

Il warning dell ACN per le aziende italiane

L'Agenzia per la Cybersicurezza Nazionale (ACN) — attraverso il CSIRT Italia — ha pubblicato un advisory ufficiale su ChainDrop, classificandolo come campagna worm auto-propagante nell'ecosistema npm con impatto potenziale su ambienti di sviluppo e pipeline CI/CD italiane. L'advisory descrive il vettore di attacco, i pacchetti coinvolti e le azioni raccomandate per i team che usano Node.js in contesti produttivi.

Per le aziende italiane che operano in settori regolamentati — fintech, healthcare, e-commerce — la compromissione di credenziali cloud o Kubernetes puo avere implicazioni che vanno oltre la sicurezza tecnica: token di accesso ai dati di produzione possono innescare obblighi di notifica ai sensi del GDPR se i dati degli utenti sono stati potenzialmente accessibili.

Cosa significa per i team di sviluppo

ChainDrop porta in primo piano una vulnerabilita strutturale: le pipeline CI/CD sono configurate per installare aggiornamenti patch automaticamente, perche e considerato sicuro. Ma quando un attaccante compromette un manutentore di un pacchetto molto scaricato, quella logica si trasforma in un vettore di distribuzione automatica del malware a scala globale.

Il problema non riguarda solo i team che hanno installato direttamente keyv: qualsiasi progetto che dipende da un pacchetto che a sua volta dipende da keyv — anche due o tre livelli piu in profondita nella catena di dipendenze — era potenzialmente esposto. In un ecosistema dove le dipendenze transitive contano spesso centinaia di pacchetti, non e realistico verificare manualmente ogni release.

Azioni immediate e difese strutturali

Azioni immediate (se hai installato pacchetti npm tra il 4 e il 6 agosto)

  • Ruota immediatamente i token npm, i token di accesso GitHub e tutti i segreti cloud (AWS/Azure/GCP) usati nelle pipeline
  • Controlla i log CI/CD per esecuzioni di hook preinstall anomale
  • Verifica che il tuo account npm non abbia pubblicato versioni che non riconosci
  • Controlla i log di accesso cloud per attivita inusuali nel periodo 4–10 agosto
  • Esegui npm audit e confronta i lock file con le versioni attese

Difese strutturali (da implementare nelle prossime settimane)

  • Blocca le versioni in lockfile: usa npm ci invece di npm install nelle pipeline — installa esattamente le versioni nel lockfile, non aggiorna patch
  • Abilita la verifica degli hook: alcune configurazioni npm permettono di disabilitare gli hook preinstall in ambienti CI; valuta questa opzione per le build di produzione
  • Usa un registry interno con caching e scanning: proxy come Verdaccio o Artifactory permettono di ispezionare i pacchetti prima che raggiungano le pipeline
  • Limita la scope dei token: i token npm e GitHub usati nelle pipeline non dovrebbero avere permessi di pubblicazione — un token di sola lettura non puo propagare un worm
  • Separa le credenziali per ambiente: le pipeline di build non dovrebbero avere accesso a credenziali cloud di produzione; usa ruoli IAM temporanei con scope minimo

FAQ

Cosa ha fatto esattamente il worm ChainDrop?
ChainDrop si e diffuso tramite un hook preinstall nei pacchetti npm compromessi: appena un developer o una pipeline CI/CD eseguiva npm install, il malware si attivava automaticamente, rubava token npm, credenziali GitHub, segreti AWS/Azure/GCP, token Kubernetes e Vault, poi usava quelle credenziali per pubblicare versioni malevole di altri pacchetti, propagandosi a catena.
Quali pacchetti npm sono stati colpiti da ChainDrop?
Tra i pacchetti piu colpiti: keyv (oltre 150 milioni di download settimanali), flat-cache (149,9M) e file-entry-cache (147,6M). In totale 444 pacchetti e 2.212 versioni sono state avvelenate in meno di 4 ore il 4 agosto 2026.
Come posso verificare se la mia pipeline e stata compromessa da ChainDrop?
Controlla i log di npm audit e i log CI/CD per esecuzioni anomale di hook preinstall. Verifica che i token npm e GitHub non abbiano pubblicato pacchetti che non riconosci. Ruota immediatamente le credenziali cloud, i token GitHub e i segreti Kubernetes se hai installato pacchetti npm tra il 4 e il 6 agosto 2026.
Il worm ChainDrop colpisce anche le aziende italiane?
Si. L'ACN ha emesso un advisory ufficiale su ChainDrop. Qualsiasi team di sviluppo italiano che usa Node.js, React, Next.js o strumenti che dipendono da keyv, flat-cache e file-entry-cache nelle proprie pipeline CI/CD potrebbe essere stato esposto.

Fonti

I tuoi processi CI/CD sono pronti ad affrontare attacchi di supply chain? Il team di YuSMP aiuta le aziende a costruire pipeline sicure — dalla gestione dei segreti alla policy di aggiornamento delle dipendenze — senza rallentare la velocita di sviluppo. Parliamone.