A empresa de segurança Sonatype descobriu uma nova campanha maliciosa que foca os seus ataques em sistemas operativos Linux. Conhecida como Atomic Arch, esta ameaça aproveita-se do repositório comunitário Arch User Repository para distribuir programas infetados e roubar informações sensíveis dos computadores das vítimas.
Como funciona a invasão dos repositórios
Os investigadores notaram que os piratas informáticos não precisam de alterar o código original das aplicações. Em vez disso, assumem o controlo de pacotes de software abandonados pelos programadores originais. Como estas ferramentas mantêm os seus nomes e o histórico de confiança intactos, as vítimas instalam as atualizações sem suspeitar do perigo.
A vulnerabilidade reside na modificação das instruções de compilação num ficheiro de configuração específico. Quando o programa é atualizado ou instalado, o sistema é forçado a descarregar uma dependência maliciosa a partir do registo público npm, mascarada de forma a fintar as ferramentas de segurança convencionais que se baseiam em assinaturas. A ameaça principal está a ser monitorizada com a referência Sonatype-2026-003775, tendo recebido uma nota de gravidade elevada de 8.7.
Técnicas avançadas de evasão e extração
O pacote infetado inclui um executável que inicia uma segunda fase de ataque utilizando a tecnologia do kernel denominada eBPF. Através de um ficheiro preparado para o efeito, a ameaça ganha permissões avançadas no sistema, conseguindo esconder os seus próprios processos e bloquear qualquer tentativa de análise ao detetar depuradores de código.
O grande objetivo desta operação é a recolha exaustiva de credenciais. O software procura ativamente por chaves do GitHub, tokens de acesso, cookies de navegação e dados guardados em plataformas de comunicação, como é o caso do Discord, Slack, Microsoft Teams e Telegram. As informações são depois enviadas diretamente para as ferramentas web dos autores do ataque.
Até ao momento, mais de vinte pacotes foram comprometidos. Apesar das semelhanças com uma operação anterior chamada IronWorm, ainda não foi possível atribuir a autoria a um grupo específico. Os peritos deixam um aviso importante: a simples remoção da aplicação principal não é suficiente para limpar a máquina de forma segura caso este código profundo já tenha começado a correr.
Nenhum comentário
Seja o primeiro!