Um ataque informático à cadeia de fornecimento no gestor de pacotes npm expôs mais de 2,25 milhões de transferências semanais a um troiano de acesso remoto focado no roubo de informações. Segundo um relatório detalhado publicado pelo Step Security, os invasores infiltraram-se em dois repositórios do GitHub associados ao projeto AsyncAPI, aproveitando uma má configuração nos fluxos de trabalho da plataforma.
A mecânica da invasão e os pacotes afetados
A intrusão ocorreu a 14 de julho e desviou-se do padrão habitual de roubo de credenciais ou chaves de acesso. Os responsáveis exploraram diretamente as pipelines de integração e entrega contínuas (CI/CD). Ao forjar uma identidade provisória no Git, conseguiram que os próprios mecanismos legítimos de publicação emitissem atestados de proveniência SLSA válidos, conferindo uma falsa camada de confiança aos ficheiros adulterados no espaço de nomes @asyncapi.
O incidente envolveu a injeção de código nocivo em cinco versões de quatro pacotes distintos, todos com elevado impacto na comunidade de programadores:
@asyncapi/generator3.3.1 (101 mil transferências semanais)@asyncapi/generator-helpers1.1.1 (43 mil transferências semanais)@asyncapi/generator-components0.7.1 (34 mil transferências semanais)@asyncapi/specs6.11.2-alpha.1 e 6.11.2 (2,1 milhões de transferências semanais)
Três fases de infeção e a ligação ao Miasma
Quando os sistemas importavam as dependências comprometidas, ativava-se uma primeira camada de JavaScript ofuscado. Esta instrução silenciosa recolhia um segundo guião alojado na rede de entrega de conteúdos ponto a ponto IPFS, lançando o núcleo do processo de forma oculta. A fase final consistia na execução de uma estrutura de malware com cerca de 92.000 linhas de código, desenhada especificamente para extrair credenciais, chaves de autenticação, carteiras de criptomoedas, dados do navegador e configurações de ferramentas de desenvolvimento.
A comunicação com os servidores operava através de múltiplos canais, abrangendo tráfego HTTP, contratos inteligentes Ethereum, retransmissores Nostr e uma rede em malha libp2p. Análises paralelas associam esta arquitetura ao conhecido backdoor Miasma, sugerindo uma variante privada ou a adoção do código após a sua recente publicação. Destaca-se ainda um mecanismo de verificação geográfica que encerra imediatamente o processo malicioso caso a máquina visada se encontre localizada na Rússia.
Impacto e ações de mitigação nas empresas
Apesar da escala e complexidade estrutural, investigadores notaram que as funções automáticas de recolha de dados apresentavam falhas de execução no código final, abortando a tarefa antes de efetivar o roubo. Contudo, a persistência do acesso remoto mantinha a porta aberta para que os atacantes concluíssem a extração manualmente.
A janela de exposição prolongou-se por quatro horas e sete minutos, decorrendo entre as 07h10 e as 11h18 UTC, o que equivale ao período da manhã até às 12h18 em Portugal Continental. Todas as versões nocivas já foram removidas do registo oficial do npm. Recomenda-se aos utilizadores afetados que auditem as suas instalações, fixem versões em ficheiros seguros conhecidos, regenerem ficheiros de bloqueio, eliminem a carga alojada em NodeJS/sync.js, terminem processos suspeitos e procedam à rotação imediata de credenciais nos sistemas.
Nenhum comentário
Seja o primeiro!