Redazione RHC:15 Novembro 2025 08:43
Um worm de autopropagação, chamado Alimentos indonésios , foi descoberto em npm . Ele gera novos pacotes a cada sete segundos. De acordo com a Sonatype, o malware já criou mais de 100.000 pacotes , e esse número continua a crescer.
O nome do worm IndonesianFoods atribui aleatoriamente nomes relacionados a pratos indonésios. Embora os pacotes criados pelo worm atualmente não contêm nenhuma funcionalidade maliciosa ( como roubo de dados ou backdoors ocultos), Isso pode mudar facilmente com uma atualização que adiciona a carga útil que os invasores procuram.
Pesquisadores alertar que o nível de automação e o escopo desse ataque criam o potencial de comprometimento da cadeia de suprimentos em larga escala . Um dos primeiros a notar essa campanha maliciosa foi o pesquisador de segurança Paul McCarty, quem criou uma página dedicada para rastrear os usuários do npm associados ao worm e o número de pacotes que eles publicaram.
Enquanto isso, os analistas da Sonatype relatam que os mesmos invasores tentou lançar um ataque em 10 de setembro de 2025 , usando o pacote fajar-donat9-breki. Embora contivesse a mesma lógica de auto-replicação, não conseguiu se espalhar. Especialistas acreditam que IndonesianFoods não tem como alvo os computadores dos desenvolvedores. Em vez disso, eles acreditam no verme visa sobrecarregar o ecossistema e interromper a maior cadeia de suprimentos de software do mundo.
“Este ataque comprometeu vários sistemas de segurança, demonstrando uma escala sem precedentes”, disse a empresa. “O Amazon Inspector sinaliza esses pacotes por meio de alertas OSV, desencadeando uma enorme onda de relatórios de vulnerabilidade. Só o banco de dados Sonatype registrou 72.000 novos boletins em um único dia.
No entanto, de acordo com Laboratórios Endor , alguns pacotes da IndonesianFoods contêm arquivos tea.yaml com contas e endereços de carteira criptográfica, abusando assim o protocolo TEA um Plataforma blockchain que paga desenvolvedores de código aberto em tokens . O esquema é simples: quanto mais pacotes houver e quanto maior sua pontuação de impacto, mais tokens poderão ser obtidos. Acredita-se que os invasores possam ter criado milhares de pacotes interconectados para acumular tokens.
Os pesquisadores relatam que o worm reside em um único arquivo JavaScript (auto.js ou publishScript.js) dentro de cada pacote. No entanto, ele não é ativado automaticamente e não possui gatilhos de instalação automática ou ganchos pós-instalação; nodo auto.js deve ser executado manualmente. Não está claro quem iniciou manualmente este arquivo, mas as dezenas de milhares de pacotes contendo IndonesianFoods indicam que Várias vítimas abriram o arquivo por algum motivo ou os próprios invasores o fizeram.
A Endor Labs diz que não encontrou evidências de atividade de engenharia social em larga escala acompanhando esta campanha. No entanto, o código do malware pode ser projetado para cenários em que os usuários são enganados (por exemplo, por meio de tutoriais falsos) em execução auto.js do nó para concluir a configuração.
Uma vez ativado, o script é executado em um loop infinito: ele remove “private”: true de package.json, gera um nome aleatório de um dicionário, cria um número de versão aleatório (para contornar a detecção de duplicatas do npm) e Publica um novo pacote por meio de npm publish . O ciclo se repete continuamente, com um novo pacote aparecendo a cada 7 a 10 segundos.
“O repositório se enche de lixo, a infraestrutura desperdiça recursos, os resultados da pesquisa ficam poluídos e, se alguém instalar acidentalmente o pacote, surgem riscos na cadeia de suprimentos”, McCarthy escreve. Curiosamente, de acordo com a Endor Labs, Esta campanha de spam começou há dois anos: em 2023, Os atacantes acrescentaram 43.000 pacotes para o NPM, em 2024, eles implementaram a monetização via TEA e, em 2025, adicionaram a auto-replicação a esse esquema, transformando a IndonesianFoods em um worm.
A IndonesianFoods não é o primeiro verme a chegar às manchetes recentemente. Mais recentemente, o Verme de vidro worm foi descoberto em OpenVSX e o Visual Studio Code Marketplace , enquanto o Shai-Hulud O worm comprometeu centenas de pacotes npm.
Sonátipo Analistas alertam que essas campanhas de malware simples, mas eficazes Crie as condições ideais para que os invasores introduzam silenciosamente malwares mais sérios em ecossistemas de código aberto.
Redação
A equipe editorial da Red Hot Cyber é composta por um grupo de indivíduos e fontes anônimas que colaboram ativamente para fornecer informações e notícias antecipadas sobre segurança cibernética e computação em geral.