Ameaça detectada na cadeia de suprimentos npm
Em agosto de 2023, um ator isolado começou a publicar pacotes no registro público npm, plataforma amplamente usada por desenvolvedores para compartilhar bibliotecas JavaScript. Desde então, doze módulos foram lançados, oito dos quais continham código malicioso capaz de instalar o Trojan Overlord RAT e roubar credenciais. Até o momento, esses oito pacotes foram baixados 40.767 vezes, expondo milhares de projetos a risco de comprometimento.
Contexto da campanha
A iniciativa recebeu o codinome MALFEX por parte das empresas de segurança CloudSEK e Checkmarx. O uso de repositórios de código aberto como vetor de ataque não é novidade, mas a persistência e a sofisticação dos pacotes publicados demonstram um planejamento cuidadoso. O atacante aproveita a confiança dos desenvolvedores ao publicar módulos com nomes semelhantes a bibliotecas legítimas, facilitando a instalação inadvertida. Essa prática se insere em um cenário global onde cadeias de suprimentos de software são alvos frequentes de grupos individuais e organizados.
Impacto nas organizações
Empresas que dependem de pacotes npm em ambientes de produção ou desenvolvimento podem ter seus sistemas comprometidos sem perceber. O Overlord RAT permite controle remoto, execução de comandos e exfiltração de dados sensíveis, enquanto os stealer incorporados capturam credenciais de serviços externos. Embora não haja relatos públicos de incidentes graves até agora, a quantidade de downloads indica que o alcance potencial é significativo, sobretudo para startups e equipes que adotam rapidamente novas dependências.
Detalhes técnicos do vetor de ataque
Os módulos maliciosos são publicados como pacotes legítimos, contendo scripts de instalação que executam código JavaScript obscuro. Durante a fase de post‑install, o script baixa um binário adicional a partir de servidores de comando e controle, instala o Overlord RAT e inicia sua comunicação com o atacante. O código também inclui rotinas de coleta de informações, como variáveis de ambiente, arquivos de configuração e tokens de acesso. Por ser executado no contexto do usuário que instala o pacote, o malware pode obter privilégios equivalentes, ampliando o leque de ações possíveis.
Encerramento e recomendações
Especialistas recomendam que equipes de desenvolvimento revisem imediatamente as dependências instaladas, verifiquem a origem dos pacotes e utilizem ferramentas de análise de integridade de código. A adoção de bloqueios de registro, auditorias de segurança automatizadas e a prática de pinagem de versões podem reduzir a superfície de ataque. Até o momento, CloudSEK e Checkmarx continuam monitorando a campanha e alertam que novos pacotes podem ser publicados. A fonte original da informação foi o portal The Hacker News.