Una campagna evil twin è un modello di attacco alla supply chain in cui un attaccante pubblica un pacchetto, un'estensione o uno strumento dall'aspetto simile che imita da vicino uno legittimo. Il clone può copiare il nome, l'icona, la descrizione o il namespace di un progetto fidato, così che utenti, sviluppatori o installatori automatici lo scambino per il software reale. Anche quando il pacchetto malevolo non è identico, la sovrapposizione nel nome può essere sufficiente a far scattare l'installazione o la fiducia.
Questa tattica è importante perché i marketplace software e i registri di pacchetti spesso usano segnali di identità come parte del loro modello di sicurezza. In pratica, i difensori cercano typosquatting, abuso del namespace, impersonificazione del publisher e storici delle versioni sospetti. Le campagne evil twin possono aggirare una revisione superficiale, contaminare gli ambienti degli sviluppatori e arrivare alle pipeline CI o agli script di onboarding. Le difese includono la verifica della provenienza del publisher, il fissaggio degli hash, il controllo delle fonti di installazione e la conservazione dei metadati storici, così che gli abusi passati di un pacchetto non vadano persi quando le etichette del registro cambiano.