PhantomRaven, il malware npm probabilmente scritto da un LLM per alimentare

Il 15 settembre 2026 CrowdStrike Counter Adversary Operations ha pubblicato l'analisi di PhantomRaven, un infostealer JavaScript distribuito attraverso oltre 100 pacchetti npm malevoli. L'attore finanziariamente motivato dietro l'operazione si presenta come bug bounty hunter su piattaforme come HackerOne, Bugcrowd e Intigriti dal novembre 2022, ma anziché vendere i dati rubati su mercati criminali li usa per identificare vulnerabilità da rivendicare a pagamento.

Come PhantomRaven aggira la supply chain npm

I pacchetti malevoli, segnalati per la prima volta da Koi Security e DCODX nell'ottobre 2025, non contenevano direttamente il payload completo. Utilizzavano invece la tecnica RDD (remote dynamic dependency), recuperando codice eseguibile da server esterni al momento dell'installazione. Questa architettura ha permesso di eludere il flagging da parte dei tool di sicurezza che analizzano le dipendenze staticamente.

La campagna ha preso di mira gli ecosistemi di integrazione continua più diffusi. PhantomRaven estrae variabili d'ambiente specifiche di GitHub Actions, GitLab CI, Jenkins e CircleCI, insieme a username e email dalla configurazione Git e npm dell'ambiente compromesso. Il malware trasmette inoltre il fingerprint del sistema, l'indirizzo IP pubblico e dettagli sul runtime, fornendo all'operatore una mappa dettagliata delle infrastrutture accessibili.

L'attore ha tentato di espandere la distribuzione anche su PyPI con codice strutturalmente simile a PhantomRaven, indicando un interesse a coprire più ecosistemi di package management.

I segni dell'intelligenza artificiale nel codice malevolo

L'assessment di CrowdStrike sull'uso di LLM non si fonda su una singola anomalia ma su un insieme di pattern coerenti. I file sorgente presentano commenti prolissi e descrittivi (verbose comments) tipici dell'output di modelli di linguaggio, frammenti di placeholder code non completamente funzionali, e caratteristiche identificabili attraverso statistical token-analysis patterns. Questi elementi concorrono alla valutazione di "high confidence", non di certezza forense assoluta: il dossier non identifica il LLM specifico utilizzato.

"Most criminal actors [...] rent commodity tools or operate their own proprietary malware; however, this threat actor has likely developed their proprietary PhantomRaven to compromise company assets and then used these compromises as leverage to claim rewards from reputable disclosure programs" — CrowdStrike

L'innovazione sta nella convergenza: un malware proprietario, probabilmente generato con strumenti accessibili commercialmente, distribuito tramite supply chain attack, con un modello di monetizzazione che non passa per i mercati criminali tradizionali ma per le piattaforme di disclosure responsabile.

L'identità nascosta dietro gli username "JPD"

CrowdStrike ha collegato almeno 2 account npm all'operazione, entrambi ora non più accessibili. Le 7 identità online associate includono jpd12, jpd13, npmhell, npmpackagejpd, npmtestdharsh, jpdhackerone11 e packagedharsh. La stringa "JPD" ricorre negli username e corrisponde all'email di contatto del bug bounty hunter attivo su HackerOne, Bugcrowd e Intigriti dal 2022.

Entrambi i pacchetti PhantomRaven analizzati contengono il nome e le iniziali del threat actor nei campi description e author del file package.json, un elemento di collegamento che CrowdStrike valuta con "high confidence". L'attore ha rivendicato bounty da almeno 9 entità nei settori tecnologia, retail e hospitality, sebbene il dossier non specifichi se queste ricompense derivino da vulnerabilità create tramite PhantomRaven o da attività di sicurezza legittima.

Cosa fare adesso

Per le organizzazioni che usano npm, la verifica delle dipendenze prima dell'installazione è prioritaria. I pacchetti con nomi simili a librerie popolari ma con download anomali meritano ispezione manuale. I team DevOps devono controllare i campi author e description nei package.json di dipendenze nuove o poco note, dato che l'attore ha inserito i propri identificatori proprio in quei metadati.

Le piattaforme di bug bounty devono validare che le segnalazioni derivino da scoperta indipendente e non da condizioni create dal segnalante stesso. Il caso PhantomRaven mostra come un attore possa compromettere un asset, estrarre dati di accesso tramite malware, e poi presentare la stessa compromissione come vulnerabilità scoperta. HackerOne, Bugcrowd e Intigriti dovrebbero incrociare i timestamp delle segnalazioni con quelli di eventuali installazioni di pacchetti sospetti negli ambienti target.

I tool di analisi statica delle dipendenze devono integrare il rilevamento di pattern RDD: pacchetti che recuperano codice da URL esterni al momento dell'installazione, anche se le librerie stesse non contengono payload diretto, rappresentano un vettore di rischio documentato. La campagna di oltre 100 pacchetti dimostra che questa tecnica è scalabile e attivamente sfruttata.

Perché è importante

L'operazione PhantomRaven introduce un incentivo perverso nella supply chain del software: i pacchetti malevoli non sono veicoli di furto tradizionale ma strumenti per generare le stesse condizioni che il bug bounty hunter poi dichiara di aver "scoperto". Nell'agosto 2025 l'attore ha esplicitamente rivendicato una vulnerabilità RCE tramite un pacchetto npm malevolo pubblicato, con esecuzione di script preinstall: la vulnerabilità era indotta, non scoperta.

Questo modello mina la fiducia nei programmi di disclosure responsabile. Se i dati di compromissione alimentano payout anziché mercati criminali, la linea tra ricerca legittima e attacco orchestrato si dissolve. L'uso probabile di LLM per abbassare la soglia tecnica di sviluppo del malware amplifica la scalabilità del problema: operatori con competenze limitate possono produrre strumenti proprietari con pattern di evasione integrati.

La combinazione di 100+ pacchetti distribuiti, 7 identità collegate, attività iniziata nel 2022 e bounty da 9 entità documenta un'operazione strutturata e persistente, non un tentativo isolato. Il mancato rilevamento dei dati trafugati su stealer log shops conferma che il modello di business differisce da quello degli infostealer convenzionali: il valore non è nella vendita dei dati ma nella loro conversione in ricompense di disclosure.

Fonti: The Hacker News | Cyber Daily