Il 17 luglio 2026 Checkmarx ha reso pubblica la campagna ViteVenom: sette pacchetti npm malevoli che impersonano l'ecosistema Vite e consegnano un RAT attraverso un'infrastruttura di comando e controllo distribuita su tre blockchain pubbliche. I pacchetti sono stati pubblicati tra il 29 giugno e il 3 luglio 2026, ma l'attività malevola risale al 27 febbraio 2026, data di attivazione dei wallet cryptocurrency collegati all'operazione. Il caso segna un salto qualitativo nel supply chain attack: il C2 non è più un dominio sequestrabile, ma un ledger immutabile.
- Sette pacchetti npm malevoli impersonano il namespace
@vitejs/*con scoped package names, una tecnica più sofisticata del typosquatting non-scoped usato dalla campagna precedente ChainVeil. - L'infrastruttura C2 si articola in quattro livelli su tre blockchain — Tron primaria, Aptos fallback, Binance Smart Chain per il payload — rendendo il takedown tecnicamente impraticabile per le autorità.
- Il codice malevolo esegue al momento dell'
import, non all'installazione, eludendo i controlli endpoint security progettati per monitorare il comportamento a runtime del package manager. - Checkmarx attribuisce l'operazione al threat actor PolinRider, valutato come legato a hacker nordcoreani; Socket ha identificato 108 pacchetti ed estensioni browser unici collegati allo stesso attore su npm, Packagist, Go e Google Chrome.
Da ChainVeil a ViteVenom: l'evoluzione del typosquatting npm
ViteVenom rappresenta un'espansione della campagna ChainVeil, precedentemente osservata da Checkmarx. La differenza sostanziale sta nella tecnica di inganno: dove ChainVeil usava nomi deformati non-scoped come rate-limit-flexible, ViteVenom impiega scoped package names per mimare il namespace ufficiale @vitejs/*. Questo approccio sfrutta la familiarità degli sviluppatori con la naming convention dell'ecosistema Vite, uno dei build tool più diffusi nel frontend JavaScript.
La compartimentazione tra le due campagne è metodica. Secondo Checkmarx: "Le differenze superficiali — nomi pacchetti diversi, account maintainer diversi, wallet Tier-1 diversi, percorsi file malevoli diversi — sono coerenti con come un singolo operatore compartimenterebbe multiple distribuzioni per limitare l'esposizione". Il dossier non specifica se i sette pacchetti siano ancora disponibili sul registry npm o se siano stati rimossi.
L'architettura C2 a quattro livelli: quando la blockchain sostituisce il DNS
Il nucleo innovativo di ViteVenom è il meccanismo di recupero del payload. Invece di contattare un dominio C2 sequestrabile, il malware interroga la blockchain Tron come primo livello. I dati della transazione, una volta decodificati e invertiti, forniscono l'hash di una transazione sulla Binance Smart Chain. Da questa seconda transazione l'agente estrae il payload criptato dal campo input, quindi lo decritta con una chiave hard-coded. Se il canale Tron fallisce, il malware ricorre ad Aptos come fallback. Esiste inoltre un meccanismo fallback HTTP che recupera il RAT direttamente da server C2, bypassando completamente la catena blockchain.
"L'attaccante memorizza i puntatori al payload come dati di transazione su blockchain pubbliche piuttosto che su domini sequestrabili, rendendo l'infrastruttura praticamente impossibile da abbattere" — Pavan Gudimalla, ricercatore Checkmarx
Il RAT consegnato ha quattro funzionalità documentate: reverse shell, furto credenziali, exfiltrazione file e iniezione di backdoor persistente. L'esecuzione differita all'import — non all'installazione con npm install — è una scelta progettuale precisa: molte soluzioni di sicurezza endpoint monitorano il comportamento dei processi di installazione, non l'esecuzione di codice all'interno del runtime dell'applicazione host.
L'attribuzione a PolinRider e il contesto nation-state
Checkmarx collega ViteVenom al threat actor PolinRider attraverso tre elementi di sovrapposizione: wallet TRON condivisi, indirizzo Aptos fallback identico e chiavi di decrittazione XOR comuni con la campagna ChainVeil. La fonte specifica che PolinRider è "valutato come legato a hacker nordcoreani", senza tuttavia dichiarare una certezza assoluta di attribuzione statale. Jenn Gile, co-founder di OpenSourceMalware, ha confermato: "È PolinRider, che opera direttamente contro gli ecosistemi npm e Vite".
La portata dell'attore è significativa: Socket ha identificato 108 pacchetti ed estensioni browser unici collegati a PolinRider, distribuiti su quattro piattaforme diverse (npm, Packagist, Go, Google Chrome). Questo pattern indica un'operazione di supply chain a lungo termine, non un'azione opportunistica o di breve durata. Il dossier non specifica il numero di installazioni o di vittime concrete della campagna ViteVenom.
Perché è importante
Il brief non documenta misure correttive specifiche indicate da Checkmarx o da altre fonti. La fonte non specifica se i pacchetti siano stati rimossi dal registry npm, né fornisce nomi esatti dei sette artefatti malevoli né hash dei wallet coinvolti.
La novità strategica di ViteVenom risiede nella resilienza strutturale del C2. I tradizionali strumenti di response — takedown DNS, sequestri domini, blacklist ISP — operano su un'architettura di rete centralizzata. Una blockchain pubblica è, per progetto, resistente a queste azioni. Non esiste un registrar da contattare, né un provider hosting da disattivare. La transazione, una volta confermata, è immutabile. Il fallback HTTP, tuttavia, lascia aperta una superficie di attacco convenzionale che le difese esistenti potrebbero intercettare, anche se il dossier non specifica URL o indicatori di compromissione per questo canale.
L'import-time execution rappresenta un altro spostamento del perimetro di rischio. Le pipeline CI/CD, gli ambienti di sviluppo e i server di build eseguono costantemente import o require di dipendenze. Il momento dell'installazione è solo una fase del ciclo di vita; il momento dell'esecuzione effettiva è molteplice e distribuito. La fonte non documenta quali controlli statici o dinamici possano rilevare il comportamento malevolo prima dell'import.
Infine, l'attribuzione a un APT valutato nordcoreano innalza il livello di rischio per le organizzazioni con dipendenze JavaScript. Gli attacchi supply chain nation-state mirano tipicamente alla persistenza a lungo termine e all'accesso a reti a valore strategico, non al profitto immediato tramite ransomware. La campagna ViteVenom, attiva da almeno cinque mesi (febbraio-luglio 2026), è coerente con questa tempistica.
Domande frequenti
Come funziona esattamente il recupero del payload via blockchain?
Il malware interroga la blockchain Tron, decodifica e inverte i dati della transazione per ottenere un hash di transazione BSC, quindi estrae il payload criptato dal campo input della transazione BSC e lo decritta con chiave hard-coded. Il fallback Aptos segue lo stesso principio su chain diversa. La fonte non specifica la chiave di decrittazione né i wallet address esatti.
L'attribuzione a North Korea è certa?
No. Checkmarx valuta PolinRider come "legato a hacker nordcoreani", ma non dichiara una conferma assoluta. La valutazione si basa su sovrapposizioni infrastrutturali (wallet, chiavi) con campagne precedenti, non su evidenza diretta di attribuzione statale.
Esiste un CVE per questa campagna?
Il dossier non menziona CVE assegnati a ViteVenom. La campagna è una supply chain attack distribuita tramite pacchetti npm malevoli, non una vulnerabilità di prodotto nel codice Vite ufficiale.
Fonti
- https://thehackernews.com/2026/07/seven-malicious-vite-npm-packages-use.html
- https://thomasharris6.wordpress.com/2026/07/17/seven-malicious-vite-npm-packages-use-blockchain-c2-to-deliver-a-rat/
- https://news.backbox.org/2026/07/17/seven-malicious-vite-npm-packages-use-blockchain-c2-to-deliver-a-rat/
- https://www.guardianmssp.com/2026/07/17/seven-malicious-vite-npm-packages-use-blockchain-c2-to-deliver-a-rat/
- https://thehackernews.com/
- https://thehackernews.com/p/upcoming-hacker-news-webinars.html
- https://thehackernews.com/search/label/Threat%20Intelligence
- https://thehackernews.com/search/label/Vulnerability
- https://thehackernews.com/search/label/Cyber%20Attack
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.