2026-08-08 00:00
← VoltarUm cluster de quase 800 pacotes maliciosos foi publicado no registro npm como parte de uma nova campanha projetada para fornecer malware de plataforma cruzada direcionado a sistemas Windows, Mac e Linux. “Esses pacotes parecem usar nomes de pacotes de slop squatted de IA ou de erros de digitação gerados aleatoriamente, mas todos eles oferecem uma poderosa carga útil de RAT e infostealer”, disse Paul McCarty, pesquisador do OpenSourceMalware. Ao contrário de outros ataques à cadeia de suprimentos de software orientados a npm que fazem uso de ganchos de ciclo de vida, como pré-instalação ou pós-instalação, para acionar a execução de código malicioso, os pacotes recém-identificados vêm com um README que instrui os desenvolvedores a carregá-los com require(), uma função integrada para importar módulos, arquivos locais e pacotes de terceiros. O ataque leva à execução de um downloader chamado WEL1DROPPER, que, quando executado, identifica o sistema operacional host e a arquitetura do processador e busca uma carga compatível de um dos três hosts Cloudflare Workers. Os três domínios Cloudflare Workers estão listados abaixo: se os downloads baseados em HTTPS falharem, o malware muda para um domínio específico da plataforma e usa registros DNS TXT para obter o próximo estágio do domínio "wel1[.]ru". O domínio de carga útil para cada sistema operacional e arquitetura de CPU é o seguinte: “O pacote primeiro solicita um registro TXT de c.<domínio>”, explicou McCarty. "Ele analisa a...
Um cluster de quase 800 pacotes maliciosos foi publicado no registro npm como parte de uma nova campanha projetada para fornecer malware de plataforma cruzada direcionado a sistemas Windows, Mac e Linux. “Esses pacotes parecem usar nomes de pacotes de slop squatted de IA ou de erros de digitação gerados aleatoriamente, mas todos eles oferecem uma poderosa carga útil de RAT e infostealer”, disse Paul McCarty, pesquisador do OpenSourceMalware. Ao contrário de outros ataques à cadeia de suprimentos de software orientados a npm que fazem uso de ganchos de ciclo de vida, como pré-instalação ou pós-instalação, para acionar a execução de código malicioso, os pacotes recém-identificados vêm com um README que instrui os desenvolvedores a carregá-los com require(), uma função integrada para importar módulos, arquivos locais e pacotes de terceiros. O ataque leva à execução de um downloader chamado WEL1DROPPER, que, quando executado, identifica o sistema operacional host e a arquitetura do processador e busca uma carga compatível de um dos três hosts Cloudflare Workers. Os três domínios Cloudflare Workers estão listados abaixo: se os downloads baseados em HTTPS falharem, o malware muda para um domínio específico da plataforma e usa registros DNS TXT para obter o próximo estágio do domínio "wel1[.]ru". O domínio de carga útil para cada sistema operacional e arquitetura de CPU é o seguinte: “O pacote primeiro solicita um registro TXT de c.<domínio>”, explicou McCarty. "Ele analisa a resposta como o número de pedaços de carga útil, aceitando um valor entre 1 e 2.000. Em seguida, solicita registros TXT numerados.
As strings retornadas são unidas e decodificadas em Base64 em um buffer binário." No estágio final, a carga útil é gravada em uma pasta temporária e executada usando "/bin/sh" no Linux e macOS ou "cmd.exe" no Windows. Sonatype, que também está rastreando a campanha sob o apelido de Flooding Dropper, disse que o estágio final é lançado como um processo separado, com a versão do Windows tomando medidas para corrigir o Event Tracing for Windows (ETW) e Antimalware Scan Interface (AMSI) para interferir no monitoramento, verificar sandboxes e ambientes virtuais, estabelecer persistência por meio de uma chave de execução do registro e uma tarefa agendada e baixar uma carga útil criptografada ("/pkg/update_win.exe") e executá-la. A cadeia de infecção do macOS é semelhante, executando um conjunto idêntico de ações para procurar depuradores e artefatos de análise antes de recuperar uma carga compatível ("/pkg/beacon_mac.bin") de um servidor remoto. Se isso falhar, ele emprega a entrega DNS TXT mencionada acima, configura a persistência usando um LaunchAgent e, em seguida, inicia o executável em um processo desanexado. O exemplo do Linux, por outro lado, é um binário UPX-packedELF configurado para baixar cargas auxiliares de uma URL do Cloudflare Worker ("oob-worker[.]cf99-9b3.workers[.]dev"), levando à implantação do Sliver, uma estrutura de comando e controle (C2) de código aberto. Os pacotes também contêm um arquivo chamado “lib/telemetry.js” que implementa um SDK de telemetria de aparência plausível, mas também contém a mesma lógica de download. “O ponto de entrada do pacote não importa este arquivo e não contém nenhuma infraestrutura adicional codificada”, disse OpenSourceMalware. “A implementação de telemetria superdimensionada parece ter como objetivo adicionar ruído e fazer com que o comportamento malicioso pareça um perfil nativo ou funcionalidade analítica durante uma revisão rápida.” A presença de domínios como “tcsbank[.]ru” e “cloudpayments[.]ru” na carga útil do macOS indica que a campanha pode ter como alvo instituições financeiras russas e pagamentos móveis.
Também é suspeito de ser uma evolução de uma campanha de confusão de dependência chamada Moika, que foi observada no início de abril e viu mais de 250 pacotes publicados no registro npm para roubar informações do ambiente e entregar uma carga útil de segundo estágio específica do sistema operacional. O desenvolvimento ocorre no momento em que a Unidade 42 da Palo Alto Networks documenta várias campanhas direcionadas ao npm e ao repositório Python Package Index (PyPI) - Atores de ameaças também foram observados usando o Google Chrome extensões comercializadas como emuladores de jogos, gerenciadores de senhas, ferramentas de produtividade, inspetores CSS e conversores de markdown para transformar o navegador da web em um proxy de rastreamento da web. Os comandos de rastreamento são recebidos remotamente por meio de uma conexão WebSocket persistente. “Essas extensões incorporam um SDK comercial idêntico de compartilhamento de largura de banda da web que conecta o navegador do usuário a uma rede proxy residencial de terceiros para operações de web scraping”, disse a Unidade 42, acrescentando que rastreia páginas injetando um iframe oculto nas guias ativas do navegador, converte o conteúdo da página em Markdown em segundo plano e o envia para um back-end de nuvem remoto. A empresa de segurança cibernética observou que algumas dessas extensões divulgam a prática nas descrições da Chrome Web Store e nas políticas de privacidade de seus sites SaaS. Depois de instalado, o SDK de terceiros solicita que os usuários aceitem o serviço. “Embora os recursos de proxy e rastreamento permaneçam inativos se o usuário recusar, algumas extensões enquadram essa opção como necessária para um serviço ininterrupto'”, disse a Unidade 42. "Um exemplo notável é o InstaSkip (mdondgockboebafloibbhjofmoedmnnn), que incorpora este SDK." Saiba como 300 líderes empresariais estão gerenciando riscos de código aberto orientados por IA, remediação de dívidas e governança em escala.
Aprenda como controlar riscos, proteger software criado por IA e manter o controle à medida que o desenvolvimento avança na velocidade da máquina. Receba as últimas notícias, insights de especialistas, recursos exclusivos e estratégias de líderes do setor, tudo gratuitamente.