Ataque à cadeia de suprimentos foca em desenvolvedores de Solana
Uma campanha de cadeia de suprimentos recém-descoberta está colocando desenvolvedores de Solana em risco sério, com atacantes escondendo código malicioso dentro de pacotes de desenvolvedores falsos no npm e PyPI. A operação, rastreada como "Solana FakeFix", implantou 25 pacotes maliciosos projetados para roubar chaves de carteira, credenciais de nuvem, chaves SSH e segredos de desenvolvedores no momento em que um pacote é instalado ou importado.
A campanha se destaca por quão convincentes são suas iscas. Em vez de usar nomes de pacotes aleatórios, o ator de ameaça criou nomes que se assemelham de perto às ferramentas reais de Solana, como solana-web3-stable, solana-rpc-client e @solana-labs/web3.js. Desenvolvedores lidando com problemas de compilação ou conflitos de dependência foram os principais alvos, fazendo com que o ataque parecesse uma correção útil em vez de uma ameaça.
Analistas da JFrog Security Research identificaram a campanha e publicaram um relatório detalhado compartilhado com a Cyber Security News. As descobertas da JFrog dividiram a operação em dois clusters distintos: o grupo Solana FakeFix de 20 pacotes direcionados a desenvolvedores de Solana, e um cluster com tema CMS de 5 pacotes que carregaram executáveis Windows ocultos em máquinas infectadas.
Evolução técnica e vetores de entrega
A campanha também mostra uma evolução clara na técnica. Versões iniciais usaram scripts simples no momento da instalação, enquanto versões posteriores enviaram bundles Solana totalmente funcionais com código de stealer injetado após exportações legítimas, tornando a detecção muito mais difícil. O ator de ameaça promoveu pacotes através de spam de issues no GitHub, abrindo nove issues em diferentes projetos e enquadrando o pacote malicioso como uma correção da comunidade para o SDK real do Solana.
O escopo total inclui 16 pacotes npm maliciosos e 4 pacotes PyPI sob a bandeira FakeFix, mais 5 pacotes npm adicionais no grupo de carregador CMS. Cada pacote foi cuidadosamente construído para parecer funcional durante os testes enquanto executava silenciosamente um payload de stealer em segundo plano.
Os pacotes usaram dois caminhos de entrega dependendo da plataforma. No npm, um hook de ciclo de vida postinstall disparou um payload JavaScript no momento em que um desenvolvedor executou um comando de instalação, exigindo nenhuma ação adicional. No PyPI, o código malicioso vivia dentro do arquivo __init__.py e rodava assim que o pacote era importado em qualquer script, notebook ou teste.
Impacto e indicadores de comprometimento (IOCs)
Uma vez acionado, o payload procurou arquivos de keypair Solana, chaves privadas SSH, arquivos de credenciais AWS, arquivos .env e variáveis de ambiente contendo nomes como KEY, SECRET, MNEMONIC ou PASSWORD. Todos os dados roubados foram enviados para um bot do Telegram controlado pelo atacante em tempo real. Pacotes mais avançados também instalaram backdoors persistentes que consultavam o Telegram em busca de comandos remotos.
O atacante poderia pegar chaves SSH, puxar variáveis de ambiente ou executar comandos de shell arbitrários na máquina da vítima. Uma variante tentou drenar os fundos Solana da vítima e redirecionar configurações de RPC local, transformando um stealer de uma vez só em uma ameaça de acesso remoto persistente. O ator também executou um pacote de bot MEV falso chamado solana-mev-bot, usando engenharia social para pedir aos usuários que colassem sua chave privada Solana diretamente.
Recomendações de mitigação para equipes de desenvolvimento
A JFrog recomenda que desenvolvedores removam imediatamente todos os pacotes afetados, girem carteiras Solana e quaisquer segredos potencialmente expostos, e auditem máquinas em busca de artefatos de persistência incluindo chaves de registro Run, tarefas agendadas e entradas de crontab. Reconstruir runners de CI a partir de imagens limpas é fortemente aconselhado em vez de confiar apenas na remoção de pacotes.
Qualquer pacote que dispare acesso de rede no momento da instalação ou execute scripts PowerShell ocultos deve ser tratado como um sinal vermelho sério. Desenvolvedores devem verificar a autenticidade de pacotes de terceiros e evitar instalar dependências não verificadas, especialmente aquelas que prometem correções para problemas de build.
Perguntas frequentes
- Quantos pacotes foram comprometidos? 25 pacotes (16 npm, 4 PyPI, 5 CMS).
- Qual o objetivo do ataque? Roubar chaves de carteira, credenciais e segredos de desenvolvedores.
- Como os pacotes se disfarçam? Nomes semelhantes ao SDK oficial do Solana.
- O que fazer se infectado? Remover pacotes, girar credenciais e auditar máquinas.