Como funciona a campanha
De acordo com o relatório publicado e coberto pelo CybersecurityNews, o vetor social envolve abordagens via LinkedIn, Facebook e anúncios em fóruns de desenvolvedores com ofertas de emprego supostamente em empresas de cripto como a fictícia "Veltrix Capital". Os candidatos recebem testes de código hospedados em repositórios controlados pelos operadores, que referenciam dependências maliciosas em npm/PyPI.
Mecanismo técnico e persistência
- Pacotes maliciosos: o pacote npm "bigmathutils" acumulou mais de 10.000 downloads antes de ser substituído por uma versão weaponizada, segundo a ReversingLabs.
- Instalação automática: ao executar ou depurar as tarefas de entrevista, gerenciadores de pacotes trazem as dependências comprometidas, acionando camadas de ofuscação e payloads que baixam um segundo estágio a partir de servidores C2.
- Payload final: RATs implementados em JavaScript, Python e Visual Basic Script, capazes de executar comandos arbitrários, enviar arquivos e verificar presença de extensões como MetaMask — indicando foco em roubo de criptomoedas.
Atribuição e sinais
A análise aponta para padrões associados ao Lazarus: uso de tokens para proteger comunicações C2 (dificultando análises), presença de timestamps em GMT+9 em commits git e foco reiterado em alvos financeiros/cripto. A ReversingLabs batizou a operação de "graphalgo" a partir do primeiro pacote detectado.
Impacto e risco para ecossistema de desenvolvimento
Essa campanha explora confiança na cadeia de desenvolvimento e no uso de dependências públicas. O risco é significativo: desenvolvedores que importam código de origem externa ou executam tarefas de terceiros podem inadvertidamente introduzir backdoors em ambientes de desenvolvimento e produção. A contaminação de pacotes amplamente baixados amplia a superfície de ataque.
Medidas recomendadas
- Adotar políticas de verificação de dependências (SCA) e bloqueio de pacotes não aprovados em pipelines.
- Higienizar processos de recrutamento técnico: evitar execução direta de código de candidatos sem ambiente isolado e analisar dependências antes de instalar.
- Monitorar telemetria de saída em ambientes de build e CI/CD para identificar downloads atípicos e conexões a domínios de C2.
- Revogar tokens e credenciais associadas a repositórios comprometidos e notificar registries (npm/PyPI/GitHub) sobre os artefatos maliciosos.
O que falta esclarecer
O relatório público não especifica vítimas nomeadas nem o exato volume de sistemas comprometidos em produção; também não há confirmação de roubo de fundos em larga escala. Aguarda-se divulgação de IOCs completos por parte da ReversingLabs e operações coordenadas com registries para remoção de pacotes.
Fonte
CybersecurityNews (cobertura da análise da ReversingLabs).