Pacote npm 'ansi-universal-ui' (G_Wagon) exfiltra credenciais via payload ofuscado
Pesquisadores identificaram um pacote malicioso publicado no npm que, disfarçado como biblioteca de interface, instala um framework furtivo (batizado de G_Wagon) capaz de roubar credenciais de navegador, carteiras cripto e credenciais de nuvem.
Descoberta e funcionamento
Relatos do artigo do Cyber Security News, com base em análises da Aikido, indicam que o pacote distribuído como ansi-universal-ui continha um dropper que, por meio de um hook postinstall, acionava o mecanismo malicioso automaticamente após a instalação. O dropper baixa um runtime Python próprio e executa código fortemente ofuscado em memória, redirecionando o payload via stdin para evitar registros em disco.
Vetores e exfiltração
Segundo os pesquisadores, o malware incorpora uma DLL Windows que é injetada em processos de navegador via chamadas nativas NT, extraindo credenciais, tokens de mensageria e extensões de carteira. Os artefatos roubados eram enviados para buckets Appwrite controlados pelos atacantes. A cadeia de ataque evita deixar vestígios locais ao operar em memória e usar técnicas de anti-forense.
Evolução rápida e sinais observados
Os autores publicaram dezenas de versões do pacote num espaço curto: a análise indicou dez versões em dois dias (21–23 de janeiro de 2026), com incremento gradual de ofuscação — por exemplo, codificação hex de URLs de C2, divisão em chunks e renomeação de diretórios/variáveis para simular código de renderização. Versões identificadas como maliciosas incluem 1.3.5 até 1.4.1.
Recomendações práticas
- Remover imediatamente as versões comprometidas (relatadas como 1.3.5–1.4.1) do ambiente de desenvolvimento e pipelines de build;
- Rotacionar senhas armazenadas em navegadores e revogar tokens/credenciais expostas (incluindo chaves de nuvem e extensões de carteira);
- Auditar dependências de projetos e bloqueios (lock files) para assegurar que versões prejudicadas não foram transitarily introduzidas por pacotes dependentes;
- Analisar logs de rede e endpoints para indicadores de C2 apontados nas análises e realizar varredura por processos injetados ou execuções incomuns de interpreters Python;
- Segregar credenciais sensíveis, evitar armazenamento em navegadores e usar cofres de segredo com rotação e logging adequados.
Limitações das informações
A investigação pública cita evidências de exfiltração para buckets Appwrite e técnicas de injeção em navegadores. Não há, porém, uma lista pública completa de domínios C2 ou indicadores técnicos exaustivos divulgada pelos pesquisadores no conteúdo usado para esta matéria; equipes de resposta devem basilar suas ações nas amostras e IOC publicados pelos pesquisadores originais (Aikido) e em suas ferramentas forenses.
Impacto
Este é um caso clássico de cadeia de suprimentos de software: projetos que puxam dependências públicas podem ser infectados sem consciência do desenvolvedor. O risco é particular para projetos que executam scripts pós-instalação ou que incorporam dependências sem revisão.
Fonte: Cyber Security News (base: Aikido)