Um novo malware sofisticado, denominado MicrosoftSystem64, foi identificado operando em silêncio ao utilizar a plataforma de inteligência artificial HuggingFace como canal para exfiltrar dados roubados de computadores infectados. A descoberta marca uma mudança significativa nas táticas de cibercriminosos, que agora aproveitam infraestruturas legítimas e amplamente utilizadas para mascarar tráfego malicioso.
Descoberta e escopo da ameaça
O malware foi inicialmente identificado por pesquisadores da SafeDep em 15 de abril de 2026, com confirmação independente da JFrog Research uma semana depois. Apesar das divulgações, a ameaça permaneceu totalmente ativa até 28 de maio de 2026, com vítimas sendo monitoradas em tempo real e a infraestrutura do atacante operando sem interrupções. O malware se disfarça como um processo legítimo do Microsoft, dificultando a detecção por ferramentas de segurança convencionais.
A análise técnica revelou que o MicrosoftSystem64 é um trojano de acesso remoto (RAT) com capacidades abrangentes. Ele visa credenciais de 15 famílias de navegadores, extrai dados de mais de 80 extensões de carteiras de criptomoedas, sequestra sessões do Telegram Desktop, copia chaves SSH, executa um keylogger contínuo e captura telas a cada 60 segundos. Todo esse conteúdo é enviado para conjuntos de dados privados no HuggingFace sob a conta do atacante.
Vetor de entrada via cadeia de suprimentos npm
O ataque inicia-se através de um pacote npm envenenado chamado js-logger-pack, que passou por 29 versões entre o início de abril de 2026, evoluindo de uma sonda básica para um dropper de malware completo. Quando um desenvolvedor instala o pacote, ele baixa e executa silenciosamente o MicrosoftSystem64, um binário de 81 MB que roda em Windows, Linux e macOS sem necessidade de software pré-instalado.
Após a instalação, o malware se conecta a um servidor remoto, começa a colher dados e se fixa no sistema para sobreviver a reinicializações. Múltiplas contas de publicadores npm foram utilizadas na campanha, incluindo js-logger-pack, terminal-logger-utils, ts-logger-pack, pretty-logger-utils e pinno-loggers. Qualquer desenvolvedor que instalou pacotes dos clusters jpeek ou toskypi deve tratar a máquina como comprometida.
Abuso da infraestrutura do HuggingFace para exfiltração
O que diferencia este malware é a forma como ele move os dados roubados. Em vez de enviar arquivos para um servidor privado, o MicrosoftSystem64 os carrega para conjuntos de dados privados do HuggingFace usando a própria API da plataforma. Isso faz com que todo o tráfego de saída pareça ser solicitações HTTPS autenticadas e normais para uma plataforma de IA bem conhecida, o tipo de tráfego que a maioria das ferramentas de monitoramento de rede não sinalizaria como suspeito.
Cada vítima recebe um conjunto separado de conjuntos de dados privados na conta do atacante, organizados por identidade da máquina e categoria de dados, cobrindo capturas de tela, credenciais e chaves SSH. O malware também busca atualizações do HuggingFace a cada 24 horas, substituindo seu próprio binário quando uma versão mais nova está disponível.
Capacidades do malware e persistência cruzada
O malware se conecta ao seu servidor de comando via WebSocket após qualquer interrupção e tenta novamente uploads falhados automaticamente, de modo que uma interrupção temporária não custa ao atacante nenhum dado roubado. Uma vez instalado, o malware se utiliza das ferramentas de persistência nativas de cada plataforma: tarefas agendadas e chaves de registro no Windows, LaunchAgents no macOS e serviços systemd com entradas de inicialização automática no Linux.
Ele rotula seu próprio processo como MicrosoftSystem64 nas listagens do sistema, imitando de perto a aparência de um serviço de fundo genuíno da Microsoft. Com 24 comandos remotos suportados, os operadores têm controle quase total sobre qualquer sistema infectado.
Atribuição ao grupo Contagious Interview
A atribuição da campanha liga o ataque a um grupo de ameaças conectado à Coreia do Norte, rastreado como Contagious Interview, conhecido por atingir desenvolvedores por meio de entrevistas de emprego falsas e pacotes de código aberto comprometidos. A infraestrutura do atacante inclui contas de npm rotativas e contas do HuggingFace dedicadas à exfiltração.
Indicadores de comprometimento (IoCs)
Os principais indicadores de comprometimento incluem o endereço IP do servidor C2 195[.]201[.]194[.]107 (hosted on Hetzner Online GmbH), o hash SHA-256 do binário Linux b2954c945b51dbd6fa88ac72338b7fbf76dec7d9909ceada9d36b21330842c97 e o nome do arquivo MicrosoftSystem64.exe. A conta do HuggingFace ativa é jpeek998 (nome de exibição "Jlob"), criada em 15 de maio de 2026.
Medidas de mitigação e recomendações para CISOs
Equipes de segurança e desenvolvedores são fortemente aconselhados a escanear todas as dependências do projeto para pacotes vinculados aos clusters jpeek ou toskypi, isolar qualquer máquina afetada e rotacionar imediatamente todas as credenciais, tokens de API, chaves SSH e frases semente de carteiras de criptomoedas sem demora. A revogação do token de API do HuggingFace embutido no binário também é recomendada.
O que os CISOs devem fazer imediatamente
1. Bloquear o tráfego de saída para o IP do C2 e domínios do HuggingFace associados à campanha.
2. Revisar logs de npm para identificar instalações de pacotes suspeitos.
3. Implementar monitoramento de tráfego de saída para APIs de plataformas de terceiros.
4. Auditar permissões de processos em busca de nomes suspeitos como MicrosoftSystem64.