Mecanismo de infecção e stealth
A operação foi construída com camadas de ofuscação para evitar detecção. O payload malicioso, embutido em um arquivo chamado src/helper.php, foi distribuído principalmente através dos pacotes nhattuanbl/lara-helper e nhattuanbl/simple-queue. Um terceiro pacote, nhattuanbl/lara-swagger, funcionava como um vetor limpo, puxando silenciosamente o lara-helper como uma dependência obrigatória. O código malicioso emprega três técnicas principais de ofuscação: fluxo de controle fragmentado com saltos goto aleatórios, strings literais codificadas em hexadecimal/octal e nomes de variáveis e funções gerados aleatoriamente.
Capacidades do RAT e persistência
Uma vez instalado, o RAT se conecta a um servidor de comando e controle (C2) em helper[.]leuleu[.]net:2096, transmitindo um perfil completo do sistema. O tráfego é criptografado com AES-128-CTR. O backdoor permite execução remota de comandos shell e PowerShell, captura de screenshots, upload/download de arquivos e coleta de dados de reconhecimento. Mesmo se o servidor C2 cair, o RAT tenta reconectar a cada 15 segundos indefinidamente, permitindo que o atacante redirecione a conexão a qualquer momento.
Impacto amplo e resposta necessária
Qualquer aplicação Laravel que tenha instalado esses pacotes deve ser considerada totalmente comprometida. O RAT opera no mesmo processo da aplicação web, tendo acesso a todas as variáveis de ambiente, credenciais de banco de dados e chaves de API armazenadas em arquivos .env. A ameaça é cross-platform, funcionando em Windows, macOS e Linux. Analistas da Socket.dev identificaram a campanha e solicitaram a remoção dos pacotes, que ainda estavam ativos no momento da publicação.
Ações de remediação imediatas
Equipes devem remover imediatamente os pacotes nhattuanbl/lara-helper, nhattuanbl/simple-queue e nhattuanbl/lara-swagger de seus projetos. Todas as credenciais e segredos acessíveis pelo ambiente da aplicação devem ser rotacionados. É crucial auditar arquivos com permissões chmod 0777, deletar o arquivo de lock em {sys_get_temp_dir}/wvIjjnDMRaomchPprDBzzVSpzh61RCar.lock e monitorar tráfego de saída para o domínio C2. A campanha serve como um alerta severo sobre os riscos de dependências não verificadas em ecossistemas de código aberto.