Socket の Threat Research が、Node.js のパッケージマネージャ管理ツール Corepack を装うサイト corepack.org を解析し、開発者向けに Infostealer と帯域共有用の proxyware を配布していると確認。Corepack に公式の Windows インストーラはなく、corepack.org も公式サイトではない。同ドメインからのダウンロードは悪意あるものとして扱う必要あり。
背景には Node.js が Corepack の同梱をやめた移行がある。Node.js 25 以降は同梱せず、利用したい場合は npm レジストリから自分で入れる流れ。検索結果で上位に出る偽サイトが、その需要を狙っている。
「Download Free」を押すと OpenShield のランディングへ誘導され、vpnsetup_….exe が落ちる。実行すると OpenShield と永続化する Apprunner が入り、ブラウザプロファイルや SSH 鍵へのアクセス、ホスト／プロセス探索、PowerShell 実行、Run キーによる再起動後の永続化が確認されている。加えて端末を帯域共有の出口ノードとして登録。別経路では偽のダウンロード完了ページ経由で OperaGXSetup.exe を配り、adware／trojan 系として検知される。
安全な入手方法は npm レジストリからのインストール。
npm install -g corepack、または公式の nodejs/corepack リポジトリの手順に従う- 見慣れないドメインから落ちる開発ツールの
.exeは実行前に公式ソースを確認する
Node.js 側では nodejs/corepack#803 でドメインが追跡され、ダウンロード提供開始後に危険なリンクとして警告が付けられている。OpenJS は ISP へ連絡し、24 時間以内に是正されなければ IP 無効化すると返答を得ている。