Descoberta e escopo
Uma nova onda de pacotes npm maliciosos está atacando desenvolvedores que trabalham com infraestrutura em nuvem e serverless. A ameaça, conhecida como payload Shai-Hulud, que carrega a família de malware Hades, expandiu seu alcance para o ecossistema Leo/RStreams, um conjunto de bibliotecas amplamente utilizadas para streaming de eventos nativo da AWS e pipelines de dados. Analistas da JFrog Security Research identificaram a nova onda e publicaram suas descobertas, alertando que o ataque rouba credenciais sensíveis de desenvolvedores no momento em que o pacote é instalado.
O que torna essa campanha especialmente perigosa é a profundidade da invasão. Quando um desenvolvedor instala um dos pacotes afetados, o payload começa a coletar credenciais armazenadas em arquivos, variáveis de ambiente, histórico de shell, tokens do GitHub CLI, chaves de acesso à nuvem e segredos de pipeline de CI/CD. Os dados são enviados silenciosamente para repositórios controlados pelos atacantes no GitHub.
Vetor e exploração
Os pacotes maliciosos usam um truque de entrega inteligente que os ajuda a escapar de scanners de segurança básicos. Em vez de colocar código prejudicial nos scripts de instalação padrão do npm que a maioria das ferramentas verifica, o atacante esconde a execução dentro de um arquivo chamado binding.gyp. Quando o npm encontra um pacote com este arquivo e sem um script de instalação explícito, ele executa automaticamente o node-gyp, que processa comandos de shell embutidos nesse arquivo.
Isso dá ao atacante uma maneira de executar código durante a instalação enquanto permanece fora do radar. Uma vez em execução, o payload coleta credenciais de uma ampla gama de fontes na máquina do desenvolvedor. Qualquer dado roubado é empacotado em arquivos criptografados e exfiltrado criando repositórios sob um token GitHub roubado e fazendo commits lá, uma técnica conhecida como GitHub dead drop.
Impacto e alcance
A escala de exposição é difícil de ignorar. Os pacotes afetados registraram cerca de 45.000 downloads em um único mês, o que significa que milhares de desenvolvedores podem já ter sido afetados sem saber. As bibliotecas Leo/RStreams estão no centro dos fluxos de trabalho de desenvolvimento nativo em nuvem, envolvendo serviços da AWS como Kinesis, S3, Lambda e DynamoDB.
p>Isso significa que qualquer desenvolvedor que instale essas ferramentas provavelmente está trabalhando em um ambiente rico em credenciais de nuvem e tokens de implantação. Uma única instalação comprometida pode expor muito mais do que apenas a estação de trabalho de um desenvolvedor, afetando repositórios de equipe, contas de nuvem e pipelines de produção.Medidas de mitigação recomendadas
A JFrog recomenda isolar máquinas afetadas e runners de CI antes de rotacionar qualquer credencial. Todos os artefatos de persistência, incluindo o serviço de monitoramento, hooks de ferramentas de IA e arquivos de workflow suspeitos, devem ser removidos primeiro. Após a limpeza, todas as credenciais do GitHub, npm, nuvem, SSH, Docker e registro de pacotes devem ser rotacionadas.
Contas do GitHub e npm também devem ser auditadas quanto a repositórios inesperados, lançamentos de pacotes ou alterações suspeitas no workflow. A implementação de verificações de segurança de software (SAST) e análise de dependências (SCA) em pipelines de CI/CD é essencial para detectar pacotes maliciosos antes da instalação.
Perguntas frequentes
- Como saber se meu pacote é afetado? Verifique a lista de pacotes maliciosos divulgada pela JFrog e compare com suas dependências.
- Devo rotacionar minhas chaves de API? Sim, imediatamente, se houver suspeita de comprometimento.
- O ataque afeta apenas Linux? Não, o payload também persiste em macOS e Windows através de hooks de ferramentas de IA.