Amazon ha ricondotto a una stessa campagna una serie di compromissioni che negli ultimi mesi hanno colpito pacchetti open source molto usati nell ecosistema NPM. Il tema e rilevante perche la tecnica combina social engineering contro i maintainer, pubblicazione di versioni malevole e propagazione rapida verso ambienti di sviluppo, pipeline CI/CD e sistemi di produzione.

Sintesi

La conferma rafforza un quadro gia emerso nei mesi scorsi attorno ai casi che hanno interessato, tra gli altri, axios, chalk e debug. Le analisi pubbliche indicano che l obiettivo non e soltanto il singolo progetto compromesso, ma l accesso a catene di dipendenze molto estese, con la possibilita di sottrarre credenziali, distribuire backdoor e aprire la strada a compromissioni successive.

Cosa emerge dalle verifiche indipendenti

Google Threat Intelligence Group aveva gia attribuito il caso axios di fine marzo 2026 a UNC1069, attore collegato alla Corea del Nord, descrivendo l inserimento di una dipendenza malevola e la distribuzione del backdoor WAVESHAPER.V2 su Windows, macOS e Linux. Microsoft ha a sua volta attribuito il compromesso di axios allo state actor nordcoreano Sapphire Sleet. La lettura di Amazon unifica questi episodi in una campagna di supply chain piu ampia, segnalando che l attore punta alla fiducia riposta nei repository e nei maintainer legittimi.

Impatto operativo

Per le organizzazioni il messaggio e concreto: non basta rimuovere una singola versione compromessa. Servono audit delle dipendenze, verifica delle pipeline di build, rotazione dei segreti potenzialmente esposti e maggiore controllo sui privilegi dei maintainer e dei token di pubblicazione. L episodio conferma inoltre che la difesa della supply chain software e ormai parte integrante della postura di sicurezza aziendale.