Campanha coordenada compromete desenvolvedores via pacotes falsos
Uma nova onda de pacotes de software maliciosos foi identificada roubando credenciais de nuvem e segredos de pipelines de CI/CD de máquinas de desenvolvedores, levantando novas alarmes sobre a segurança da cadeia de suprimentos de software de código aberto. O ataque, descoberto em 28 de maio de 2026, mostra o quão fácil se tornou para atores maliciosos inserir código perigoso nas mãos de desenvolvedores desprevenidos através de uma técnica de nomeação simples que explora erros humanos em escala e velocidade surpreendente.
A campanha gira em torno de uma técnica chamada typosquatting, onde atacantes publicam pacotes com nomes quase idênticos a bibliotecas populares e confiadas. Neste caso, 14 pacotes maliciosos foram carregados no registro npm em uma janela de quatro horas, todos imitando ferramentas amplamente utilizadas relacionadas a OpenSearch, ElasticSearch, DevOps e bibliotecas de configuração de ambiente.
Análise técnica do payload e vetores de ataque
Uma vez instalados, esses pacotes começam imediatamente a coletar credenciais sensíveis e enviá-las para servidores controlados por atacantes sem nenhum sinal visível de comprometimento. Analistas da Microsoft identificaram a campanha e notaram que todos os 14 pacotes foram publicados por um único ator de ameaça operando sob o alias de mantenedor vpmdhaj, registrado com o email a39155771@gmail[.]com.
Os pacotes transportam o mesmo payload de coleta de credenciais, um binário compilado em Bun de aproximadamente 195 KB que visa ambientes de nuvem e CI/CD. Os pacotes também usaram metadados falsificados, definindo seus campos de homepage e repositório para apontar para o projeto legítimo do OpenSearch para parecer confiável à primeira vista.
O ataque começa no momento em que um desenvolvedor executa npm install. Cada pacote no cluster usa um hook de ciclo de vida automático que dispara código malicioso sem nenhuma ação adicional requerida da vítima. Duas variantes deste stager foram observadas: uma geração mais antiga que entra em contato com um servidor de comando e controle externo para buscar seu payload, e uma geração mais nova e mais furtiva que baixa silenciosamente o runtime legítimo do Bun e usa-o para executar um script malicioso pré-empacotado oculto dentro do tarball npm.
Riscos de expansão da cadeia de suprimentos
O que separa esta campanha do roubo típico de credenciais é o direcionamento específico de tokens de publicação do npm. Se um atacante ganha a capacidade de publicar pacotes em nome de um desenvolvedor legítimo, eles podem injetar código malicioso em bibliotecas confiadas sem o conhecimento do proprietário, expandindo a campanha muito além de sua alcance original.
Isso cria um risco a jusante que pode se espalhar para milhares de outros projetos muito além dos 14 pacotes maliciosos iniciais neste cluster. O escopo do que esses pacotes visam, abrangendo múltiplas plataformas de nuvem, sistemas de CI/CD e o próprio registro npm, torna este um dos ataques baseados em npm mais sofisticados vistos recentemente.
Indicadores de Comprometimento (IoCs)
Os indicadores de comprometimento incluem os pacotes npm maliciosos como @vpmdhaj/elastic-helper, @vpmdhaj/devops-tools, e outros nomes similares. O mantenedor da ameaça é vpmdhaj, e o email registrado é a39155771@gmail[.]com. O domínio aab.sportsontheweb[.]net foi usado como servidor C2 de estágio 1. Os hashes SHA-256 dos stagers e payloads também foram identificados para detecção em SIEMs.
Recomendações de mitigação para equipes de segurança
As equipes de segurança devem tomar medidas imediatas se qualquer um dos pacotes afetados foi instalado em ou após 28 de maio de 2026. Os passos recomendados incluem girar todas as credenciais AWS, Vault, npm e GitHub que podem ter sido expostas, bloquear o egresso para o domínio do atacante no firewall e nível de DNS, e revisar os logs de build do CI/CD para conexões de rede inesperadas ou downloads incomuns de runtime Bun iniciados por processos Node.js.
A execução do npm install com a flag --ignore-scripts também pode prevenir que esses hooks de ciclo de vida sejam executados inteiramente, interrompendo o ataque em seu ponto de entrada mais precoce antes que qualquer payload alcance o disco. A monitorização de tráfego de saída para domínios suspeitos e a verificação de integridade de pacotes são essenciais para detectar e responder a este tipo de ataque.
Conclusão e impacto estratégico
Este incidente reforça a necessidade de uma governança rigorosa de dependências de software e a implementação de ferramentas de análise de segurança de software (SAST/DAST) que possam identificar pacotes maliciosos antes da instalação. A colaboração entre equipes de desenvolvimento e segurança é crucial para mitigar riscos de cadeia de suprimentos em ambientes de código aberto.