Quatro pacotes maliciosos do npm foram detectados com capacidade de roubar chaves SSH, credenciais de nuvem, carteiras de criptomoedas e variáveis de ambiente, enquanto uma variante transforma silenciosamente máquinas infectadas em uma botnet DDoS. A campanha parece ser obra de um único ator de ameaças implantando múltiplas variantes de infostealer simultaneamente através de uma operação coordenada de typosquatting direcionada a usuários do Axios.
Detalhes da campanha de ataque
Os quatro pacotes, identificados como chalk-template, @deadcode09284814/axios-util, axios-utils e color-style-utils, foram detectados nas últimas 24 horas. Todas as versões de cada pacote são consideradas maliciosas. Combinados, eles acumularam aproximadamente 2.678 downloads semanais antes de serem sinalizados. A descoberta representa um ataque de cadeia de suprimentos sofisticado que explora a confiança inerente nas bibliotecas populares do ecossistema JavaScript.
O ataque é particularmente preocupante porque utiliza técnicas de typosquatting para se disfarçar como pacotes legítimos, enganando desenvolvedores que podem não verificar cuidadosamente os nomes dos pacotes antes de instalá-los. A velocidade de propagação e a variedade de objetivos de ataque indicam uma operação bem planejada e executada por um grupo organizado.
Shai-Hulud: código de malware weaponizado
A descoberta mais alarmante é o chalk-template, que contém um clone quase idêntico do infostealer Shai-Hulud, um malware de código aberto cujo código-fonte foi vazado publicamente no GitHub pelo grupo TeamPCP apenas na semana anterior. O ator de ameaças copiou o código com modificações mínimas, incorporando seu próprio endereço de servidor C2 (87e0bbc636999b[.]lhr[.]life) e chave privada, e então enviou o pacote funcional diretamente para o npm.
A falta de ofuscação, um contraste marcante com as implantações originais do Shai-Hulud, confirma que este é um ator copista em vez do TeamPCP em si. Pesquisadores notaram que o ataque se alinha com uma competição de ataque de cadeia de suprimentos postada no BreachForums logo após o vazamento do TeamPCP, sugerindo que o lançamento de código aberto está inspirando ativamente novas campanhas criminosas.
Quatro pacotes, quatro estilos de ataque
Cada pacote tem um objetivo de ataque diferente, demonstrando a versatilidade da campanha:
- chalk-template — Clone do Shai-Hulud exfiltrando credenciais, carteiras de cripto, segredos e contas para um servidor C2 remoto.
- @deadcode09284814/axios-util — Infostealer direto coletando chaves SSH, variáveis de ambiente e credenciais de nuvem da AWS, GCP e Azure, transmitindo dados para 80[.]200[.]28[.]28:2222.
- axois-utils — Entrega um bot "Phantom Bot" baseado em GoLang com lógica de persistência que sobrevive à exclusão do pacote, além de uma botnet DDoS capaz de inundar alvos com solicitações HTTP, TCP, UDP e reset.
- color-style-utils — Infostealer não ofuscado colhendo endereços IP, dados de geolocalização e carteiras de criptomoedas, exfiltrando para edcf8b03c84634[.]lhr[.]life.
Indicadores de comprometimento (IOCs)
Os seguintes indicadores devem ser monitorados e bloqueados imediatamente nas redes corporativas:
- 87e0bbc636999b[.]lhr[.]life — Domínio C2
- 80[.]200[.]28[.]28:2222 — IP:Porta C2
- b94b6bcfa27554[.]lhr[.]life — Domínio C2
- edcf8b03c84634[.]lhr[.]life — Domínio C2
Nota: Endereços IP e domínios são intencionalmente defanged (por exemplo, [.]) para evitar resolução acidental ou hiperlinking. Re-fang apenas dentro de plataformas controladas de inteligência de ameaças como MISP, VirusTotal ou seu SIEM.
Ações imediatas para desenvolvedores e CISOs
Qualquer pessoa que instalou qualquer versão desses pacotes deve agir imediatamente:
- Desinstalar todos os quatro pacotes maliciosos sem demora.
- Excluir quaisquer configurações maliciosas relacionadas de IDEs e agentes de codificação, incluindo Claude Code.
- Rodar todas as credenciais e chaves em máquinas afetadas.
- Buscar em repositórios GitHub pela string "A Mini Sha1-Hulud has Appeared" como um potencial indicador de comprometimento.
- Bloquear acesso de rede a todos os domínios e IPs C2 listados.
Democratização do malware e riscos futuros
Esta campanha sinaliza uma nova tendência perigosa: a democratização de malware sofisticado. Com o Shai-Hulud agora disponível publicamente, a barreira para lançar ataques de cadeia de suprimentos capazes caiu dramaticamente. A OX Security alerta que esta é provavelmente apenas a primeira onda, conforme malware codificado por vibe prolifera no npm, com cada variante colhendo diferentes tipos de dados para vários propósitos criminosos, desde roubo de credenciais e drenagem de cripto até recrutamento total de botnets, tudo a partir de uma única conta npm.
Implicações para segurança de software
Para CISOs e equipes de DevSecOps, este incidente reforça a necessidade de escaneamento contínuo de dependências e verificação de integridade de pacotes. A confiança cega em bibliotecas populares deve ser substituída por validação rigorosa e monitoramento de comportamento anômalo em ambientes de desenvolvimento e produção. A implementação de políticas de aprovação de pacotes e o uso de repositórios privados com mirror seguro podem mitigar riscos semelhantes no futuro.
Conclusão
O ataque aos pacotes npm serve como um lembrete crítico de que a segurança da cadeia de suprimentos de software é um campo de batalha dinâmico. A facilidade com que código malicioso pode ser injetado em repositórios públicos exige vigilância constante e processos robustos de detecção e resposta. A comunidade de desenvolvimento deve permanecer alerta para novas variantes e adaptar suas defesas para proteger credenciais e infraestrutura crítica contra ameaças cada vez mais sofisticadas.