A equipe de segurança do GitLab descobriu um ataque grave e contínuo que espalha malware perigoso por meio do npm, a biblioteca de códigos mais extensa do mundo.
O malware usa um alarmante “interruptor de homem morto”, um gatilho de autodestruição que ameaça apagar os dados do usuário se o ataque for encerrado.
Os pesquisadores de segurança identificaram vários pacotes infectados contendo um malware destrutivo chamado Shai-Hulud.
Ao contrário do típico malwareessa variante se espalha como um worm, infectando automaticamente outros pacotes de software de propriedade de desenvolvedores comprometidos.
O mais alarmante é que o malware inclui um recurso perigoso: se seus canais de comunicação forem cortados, ele destruirá os arquivos da vítima.
“Verificamos que o GitLab não estava usando nenhum pacote malicioso”, afirmou a empresa, ao alertar a comunidade de segurança mais ampla sobre a ameaça ativa.
Como funciona o ataque
O malware entra nos sistemas através de scripts de instalação disfarçados. Quando os desenvolvedores instalam um pacote infectado, um arquivo chamado setup_bun.js é executado automaticamente.
Ele parece instalar o Bun, uma ferramenta de programação legítima, mas na verdade lança código malicioso oculto enterrado em um arquivo ofuscado de 10 megabytes.
Uma vez ativado, o malware procura segredos valiosos no computador da vítima, tokens de acesso do GitHub, Amazônia e credenciais de nuvem da Microsoft e senhas de publicação npm.
Ele até baixa uma ferramenta de verificação de segurança para procurar arquivos e histórico do git em busca de chaves de API ocultas.
As credenciais roubadas são carregadas em repositórios GitHub especialmente marcados com a frase “Sha1-Hulud: The Second Coming” em suas descrições.
Esses repositórios funcionam como armazenamento seguro para dados roubados. Inteligentemente, se uma máquina infectada não tiver acesso suficiente, ela pesquisará no GitHub repositórios criados por outros sistemas comprometidos e recuperará tokens deles, criando uma rede criminosa autossustentável.
Usando credenciais npm roubadas, o malware infecta todos os pacotes mantidos pela vítima, injetando seu código malicioso em cada um deles e republicando-os. Isso faz com que a infecção se espalhe exponencialmente.
A mudança do homem morto perigoso
O componente mais assustador é a carga destrutiva. O malware verifica continuamente se consegue chegar ao GitHub e npm.
Se perder o acesso a ambas as plataformas simultaneamente, o que poderá acontecer se as plataformas detectarem e encerrarem o ataque. O malware desencadeia destruição imediata.
Em computadores Windows, ele tenta excluir todos os arquivos do usuário e substituir o disco rígido. Em sistemas Linux e Mac, ele substitui os arquivos por dados aleatórios antes de excluí-los, tornando a recuperação praticamente impossível.
Isso cria um cenário de pesadelo: se o GitHub ou o npm tomarem medidas para impedir o ataque, excluindo repositórios ou revogando tokens comprometidos, milhares de máquinas infectadas poderão destruir simultaneamente os dados de seus usuários.
Este ataque representa um novo nível de perigo na cadeia de abastecimento. Não se trata apenas de roubar dados; está mantendo os arquivos dos usuários como reféns, ameaçando destruí-los se a infraestrutura de ataque for interrompida.
Os desenvolvedores que usam pacotes npm são incentivados a monitorar seus sistemas em busca de atividades suspeitas e alterar todas as credenciais imediatamente.
GitLab continua investigando para entender todo o escopo dos pacotes comprometidos.
Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial emGoogle.