La comunità della crypto è stata colpita da una campagna mirata che combina social engineering, malware per macOS e un attacco alla catena di fornitura del software. Secondo i ricercatori, l’attore denominato JINX-0164 ha adoperato profili LinkedIn costruiti ad arte per stabilire fiducia con sviluppatori e poi consegnare strumenti malevoli che permettono il furto di credenziali e l’accesso ai repository di sviluppo.
La dinamica della campagna mette in luce come un singolo incontro virtuale possa trasformarsi in un veicolo per contaminare librerie e pacchetti usati a valle, ampliando l’impatto dell’intrusione oltre la postazione iniziale.
Modalità di inganno e vettore iniziale
Il primo contatto avviene via LinkedIn: profili che simulano reclutatori, con ruoli e connessioni plausibili, vengono usati per proporre colloqui virtuali. Durante questi meeting l’attaccante mette in scena un problema tecnico apparentemente innocuo, come un malfunzionamento audio, e invia un link a un presunto aggiornamento. Il file scaricato è tutt’altro che benigno: si tratta del payload noto come AUDIOFIX, un infostealer e remote access trojan scritto in Python, progettato per funzionare sia su processori Intel sia su Apple Silicon.
Perché questa tecnica è efficace
La fiducia implicita nei contesti professionali rende il pretesto del reclutamento particolarmente efficace: la vittima si aspetta contatti per opportunità di lavoro e raramente sospetta un aggressore travestito da recruiter. Inoltre, la doppia mimetizzazione del malware — nome del processo che imita un driver di sistema e nome del file che richiama un updater del browser — riduce la probabilità di rilevamento superficiale.
Comportamento del malware AUDIOFIX su macOS
Una volta eseguito, AUDIOFIX si installa come agente persistente tramite launchctl, sfruttando un meccanismo di sistema legittimo per garantirsi esecuzioni ad ogni avvio. Il malware raccoglie un ampio spettro di dati: credenziali da browser e password manager, chiavi SSH, file di configurazione, estensioni wallet, indirizzi di portafogli e sessioni attive di piattaforme di messaggistica come Discord, Slack e Telegram.
Capacità di movimento laterale e impatto
Oltre all’esfiltrazione, il payload supporta l’esecuzione di comandi shell arbitrari, il download di componenti aggiuntivi e il movimento laterale verso infrastrutture di sviluppo. I ricercatori hanno documentato casi in cui l’accesso iniziale a una workstation ha permesso di raggiungere sistemi CI/CD e repository, trasformando una singola compromissione in un rischio per l’intera supply chain.
La compromissione del pacchetto npm e MiniRAT
La seconda fase della campagna ha coinvolto la manipolazione del pacchetto npm @velora-dex/sdk. La versione 9.4.1 di questo modulo, pubblicata il 7 aprile 2026, conteneva una backdoor scritta in Go chiamata MiniRAT. Diversamente da molte minacce npm che sfruttano script di installazione, MiniRAT viene eseguita al primo require() o import del modulo, rendendo inefficaci molte difese che si concentrano solo sulla fase di installazione.
Pericoli dell’esecuzione a runtime
L’esecuzione durante il caricamento del modulo avviene in pochi centinaia di millisecondi e può registrare job di persistenza su macOS usando nomi mascherati. Questo comportamento bypassa controlli che disabilitano gli script postinstall e rende la rilevazione più complessa senza analisi statica o controllo della provenienza del pacchetto.
Contromisure e risposta raccomandata
Per limitare l’impatto di campagne simili, le organizzazioni dovrebbero applicare controlli multipli: imporre commit firmati, abilitare modalità vigilanza su piattaforme come GitHub, monitorare commit non verificati e cambiamenti nei workflow CI/CD. È fondamentale richiedere MFA per account cloud e piattaforme di sviluppo e limitare l’uso di VPN ai fornitori approvati.
In caso di compromissione occorre isolare immediatamente l’host macOS, raccogliere artefatti forensi, revocare credenziali e token API, riesaminare i repository per commit sospetti e rimuovere qualsiasi pacchetto npm compromesso. Bloccare i domini e gli indirizzi IP identificati come command-and-control e aggiornare le regole del firewall è un passo necessario per interrompere l’esfiltrazione.
Conclusioni: cosa cambia per la sicurezza delle crypto
La campagna attribuita a JINX-0164 evidenzia come la superficie d’attacco si sia estesa fino al singolo sviluppatore e alle sue interazioni professionali. L’uso combinato di social engineering, malware macOS e compromissione di pacchetti distribuiti sottolinea che la protezione della supply chain richiede controlli su più livelli, dall’identità digitale alla verifica del codice.
L’apprendimento principale è che le difese tradizionali non bastano: servono procedure di verifica della provenienza dei pacchetti, controllo rigoroso delle credenziali e sensibilizzazione mirata del personale tecnico per ridurre la probabilità che un incontro professionale si trasformi in un’infiltrazione.
