Analistas da Koi identificaram um pacote malicioso no ecossistema npm denominado "lotusbail" que, apesar de oferecer funcionalidade legítima para integração com WhatsApp Web, exfiltra mensagens, chaves de sessão e outros dados sensíveis. O pacote acumulou mais de 56.000 downloads antes da descoberta.
Como o pacote se apresenta
Lotusbail se disfarça como um fork legítimo do projeto @whiskeysockets/baileys, uma biblioteca amplamente utilizada para integração com WhatsApp Web. Essa fachada funcional permitiu que o pacote passasse por revisões básicas e fosse implantado em ambientes de desenvolvimento e produção sem levantar suspeitas imediatas.
Capacidades maliciosas detectadas
- Coleta de chaves de sessão do WhatsApp e histórico completo de mensagens (passadas e presentes).
- Exfiltração de listas de contatos, arquivos de mídia e documentos trocados pelo aplicativo.
- Persistência: pacote mantinha backdoor e permite vincular o dispositivo do atacante via um código de pareamento embutido, cifrado com AES, possibilitando controle contínuo mesmo após remoção parcial do pacote.
Mecanismos de ocultação e exfiltração
O malware implementa um mecanismo de criptografia personalizado (RSA) para ofuscar os dados roubados antes de enviá‑los ao servidor do atacante. O endereço de exfiltração é protegido por múltiplas camadas: manipulação de Unicode, compressão LZString, codificação Base‑91 e AES — tornando o rastreamento da infraestrutura de exfiltração mais complexo.
Além disso, o código inclui 27 armadilhas de loop infinito que são ativadas na presença de ferramentas de depuração, dificultando a análise dinâmica por pesquisadores.
Alcance temporal e operacional
O pacote permaneceu ativo no repositório npm por aproximadamente seis meses antes da identificação pela Koi. Durante esse período, foi capaz de infiltrar projetos que dependiam do pacote — consequência da aparência legítima e da entrega de funcionalidade real.
Implicações e recomendações
Como o alvo direto são integrações WhatsApp, as implicações incluem comprometimento de credenciais, vazamento de comunicações sensíveis e potenciais impactos em aplicações de atendimento e automação que usam WhatsApp como canal.
O texto consultado não lista uma lista de IOCs completa para bloqueio automático, portanto recomendações imediatas práticas incluem:
- Remover dependências suspeitas e substituir por versões oficiais verificadas ou bibliotecas alternativas confiáveis.
- Auditar repositórios de código e pipelines CI/CD para detectar uso de "lotusbail" ou pacotes com comportamento anômalo.
- Rotacionar chaves/credenciais e revalidar dispositivos pareados nas contas WhatsApp utilizadas por aplicações.
Conclusão
A campanha evidencia o risco contínuo de pacotes maliciosos no ecossistema de software livre: atores podem distribuir código que funciona corretamente, enquanto exfiltram dados críticos. A defesa exige verificação de dependências, análise de comportamento em runtime e processos de verificação de supply‑chain em ambientes de desenvolvimento e produção.