123 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a npm.
Atores associados à Coreia do Norte publicaram 197 pacotes maliciosos no npm usados para distribuir uma variante do OtterCookie; segundo a Socket, os artefatos foram baixados mais de 31.000 vezes e mesclam funcionalidades do BeaverTail e de versões anteriores do OtterCookie.
Entro Security relata que o worm Shai Hulud 2.0, detectado em 24/11/2025, comprometeu cerca de 1.195 organizações ao exfiltrar snapshots de memória double-base64-encoded durante pipelines CI/CD; tokens ativos (GitHub, AWS, Google Cloud) chegaram a permanecer válidos dias após a detecção — recomendam rotacionar identidades não-humanas e tratar runtimes como comprometidos.
Campanha Shai Hulud v2 compromete 834 pacotes em npm e Maven e utiliza GitHub Actions para colher tokens (GITHUB_TOKEN, NPM_TOKEN, AWS_ACCESS_KEY_ID), instalar runtimes (Bun) e exfiltrar segredos, incluindo rotina destrutiva quando propagação falha.
A campanha 'Contagious Interview' usa pacotes npm typosquatted, contas GitHub falsas e endpoints Vercel para entregar OtterCookie, um infostealer/RAT cross‑platform; foram identificados 197 pacotes e >31.000 downloads nessa onda. Vetor explora postinstall e eval de payloads.
Pesquisa do GitLab descreve um ataque massivo via pacotes npm que distribui uma variante de Shai‑Hulud com funcionalidade de wipe caso os atacantes percam controle de infraestrutura; o malware rouba tokens e se replica publicando pacotes infectados, criando risco sistêmico ao ecossistema JavaScript.
O pacote JavaScript node-forge recebeu correção para uma vulnerabilidade que, segundo relato do Bleeping Computer, poderia ser explorada para burlar verificações de assinatura ao manipular dados. A matéria informa que há um fix disponível, mas não detalha CVE, versões afetadas ou PoC. Equipes devem atualizar dependências e auditar usos de assinatura até que um advisory técnico seja publicado.
A segunda onda da campanha Shai-Hulud, que já comprometeu mais de 830 pacotes no npm, foi detectada no ecossistema Maven em um artefato org.mvnpm:posthog-node:4.18.1 contendo os componentes 'setup_bun.js' e 'bun_environment.js', segundo a Socket Research Team reportada pelo The Hacker News. Fontes não detalham vetores iniciais ou extensão em produção.
Uma nova iteração do worm 'Shai-Hulud' comprometeu 640 pacotes NPM e apresenta comportamento autorreplicante; se não conseguir se espalhar, a amostra relatada pode apagar o diretório home do sistema afetado. A publicação recomenda isolamento de versões afetadas, auditoria de pipelines e práticas de defesa na cadeia de suprimentos.
A variante “The Second Coming” do Sha1‑Hulud comprometeu 800+ pacotes npm e criou ~26.300 repositórios GitHub para armazenar segredos exfiltrados; a campanha usa o runtime Bun para evasão e inclui um wiper que apaga o diretório home se não conseguir exfiltrar dados.
Uma segunda onda da campanha Sha1‑Hulud comprometeu centenas de pacotes e alcançou mais de 25.000 repositórios npm, usando scripts de preinstall para roubo de credenciais e distribuição em cadeia de suprimentos. Fontes múltiplas apontam variações da ameaça e recomendam auditoria de dependências, isolamento de builds e rotação de segredos.