Um ataque cibernético de grande escala atingiu o ecossistema da plataforma npm, usado por desenvolvedores para compartilhar e baixar bibliotecas de código. Os invasores obtiveram acesso à conta de um mantenedor — responsável por atualizar oficialmente um projeto — e publicaram versões maliciosas que se propagaram automaticamente entre os pacotes.
Mais de 400 pacotes foram afetados, totalizando acima de dois bilhões de instalações por mês em nível global. A infecção foi realizada por meio de comandos ocultos inseridos nos próprios pacotes: ao serem baixados, esses comandos acionavam o download de um software externo que executava código encoberto nos sistemas dos desenvolvedores.
Como funcionou o ataque
O programa baixado pelos pacotes comprometidos realizava varreduras nos computadores infectados em busca de credenciais, chaves de provedores de nuvem, códigos de segurança de servidores e informações relacionadas a ferramentas de desenvolvimento. Além de coletar segredos, o malware tinha capacidade de se espalhar autonomamente para outros projetos sem nova intervenção humana.
Relatórios e descobertas
Pesquisas de segurança conduzidas por empresas como Aikido, Wiz e Socket identificaram comportamento avançado de disseminação autônoma. A equipe da Socket descreveu que o script malicioso empregava um mecanismo de instalação capaz de baixar um ambiente isolado, reunir dados confidenciais de forma silenciosa e, em seguida, propagar a infecção para outros pacotes.
O estudo do grupo Wiz indicou que os alvos de extração foram ampliados em cerca de 70%, alcançando credenciais de ferramentas de inteligência artificial, carteiras de criptomoedas e sistemas usados na integração de código por múltiplos programadores. Os pesquisadores também relataram o uso de contratos inteligentes em blockchain pelos invasores para atualizar remotamente endereços de comando e dificultar a resposta defensiva.
Imagem: Divulgação
Recomendações
Diante do risco considerado crítico, as empresas de monitoramento orientaram ações imediatas: identificar e remover as versões comprometidas dos ambientes de desenvolvimento, reconstruir sistemas afetados e substituir todas as senhas e chaves de acesso possivelmente expostas. As recomendações incluem também auditoria completa dos servidores e a substituição de qualquer dado que possa ter sido visualizado pelos criminosos.
As investigações seguem em andamento enquanto as equipes de segurança recomendam atenção redobrada às dependências de projetos que utilizam o repositório npm.
Com informações de Tecmundo
Gudyê GR6 é editor-chefe e especialista em tendências musicais e entretenimento na GR6, a maior produtora de funk do Brasil. Com anos de experiência no mercado fonográfico, Gudyê lidera a equipe de conteúdo trazendo as últimas notícias sobre música, cultura urbana. Autor do Post: Gudyê GR6
