Falsa aceleradora Web3 distribui malware por pacotes npm e intercepta dados de agentes de IA
Uma campanha maliciosa identificada como REF8801 utiliza uma falsa aceleradora de startups Web3 para distribuir malwares em sistemas Windows e macOS por meio de pacotes npm. A operação oferece créditos gratuitos para modelos de inteligência artificial, como Anthropic Claude e Google Gemini, além de ferramentas de programação e auditorias de segurança.
Segundo os pesquisadores Jia Yu Chan e Daniel Stepanic, da Elastic Security Labs, os pacotes distribuem programas para roubo de informações e backdoors, além de modificar agentes de programação com IA para redirecionar suas comunicações a servidores controlados pelos invasores.
A campanha utiliza a identidade da Apex Accelerator, uma suposta aceleradora de capital de risco voltada a startups e empreendedores do setor de criptomoedas.
A investigação identificou dois pacotes npm maliciosos:
@apexacc/cli: divulgado como Apex Copilot CLI, um assistente de IA para fundadores de projetos Web3.
@apexacc/audit: apresentado como Web3 Security Scanner, um servidor Model Context Protocol (MCP) com 18 ferramentas para análise de tokens, carteiras digitais e contratos inteligentes.
Ambos foram publicados pelo usuário npm "apexaccelerator" e associados à conta GitHub "apexaccs" e à organização Apex Foundation. Os pacotes e seus repositórios já não estão acessíveis.
Embora a identidade dos responsáveis permaneça desconhecida, a Elastic identificou comentários em russo no histórico do código-fonte. Os indícios, entretanto, não permitem determinar a origem dos operadores.
Campanha utiliza investimentos e eventos para conquistar vítimas
A operação apresenta indícios de atividade desde março de 2026. Registros do Internet Archive mostram que a Apex Foundation anunciava investimentos de US$ 235 mil, subsídios e conexões com fundos de venture capital, investidores-anjo e empresas de private equity.
A infraestrutura da organização foi associada aos domínios apexaccs[.]org e apexfdn[.]xyz, identificados em registros analisados pela Socket desde abril.
Publicações na plataforma X mostram que os responsáveis abordavam desenvolvedores de carteiras de criptomoedas e ferramentas de inteligência de mercado, oferecendo investimentos condicionados à execução de ferramentas de avaliação.
Para aumentar sua credibilidade, o grupo também explorava sua presença em eventos como o TOKEN2049, em Singapura, e outros encontros presenciais.
A campanha já havia sido parcialmente documentada pela SafeDep em julho de 2026, quando três pacotes npm relacionados à operação foram identificados distribuindo o Atomic Stealer (AMOS), malware especializado no roubo de informações em dispositivos macOS:
@apexfdn/apex
@copilot-mcp/apex
Pacotes distribuem malwares diferentes para Windows e macOS
Após a instalação, os pacotes não entregam as funcionalidades prometidas. O @apexacc/audit produz resultados de segurança fabricados, enquanto o @apexacc/cli apresenta avaliações sem fundamentação, inclusive de projetos fictícios.
Na prática, ambos iniciam cadeias de infecção específicas para cada sistema operacional. A comunicação começa com uma requisição HTTP POST ao endereço vrf.apexaccs[.]org/api/v1/vrf, identificando o ambiente como Windows ou macOS.
No Windows, o ataque utiliza comandos PowerShell codificados em Base64 para baixar scripts adicionais e executar o arquivo malicioso "bludness.exe".
O executável, desenvolvido com PyInstaller, verifica privilégios administrativos e tenta contornar o Controle de Conta de Usuário (UAC) por meio do método ucmDebugObjectMethod(), da ferramenta UACME.
As etapas seguintes utilizam outro executável PyInstaller e um carregador desenvolvido em Golang, que modifica componentes como Antimalware Scan Interface (AMSI), Event Tracing for Windows (ETW) e ntdll.dll para dificultar a detecção por soluções de segurança.
O malware final coleta informações do sistema, processos ativos, conteúdo da área de transferência, redes Wi-Fi, capturas de tela e dados armazenados em carteiras de criptomoedas, extensões, mensageiros, aplicativos de acesso remoto, clientes VPN, FTP e plataformas de jogos.
Também compromete informações dos navegadores Google Chrome, Microsoft Edge, Mozilla Firefox e Yandex. A ameaça consegue contornar proteções App-Bound Encryption (ABE) do Chrome para extrair senhas, cookies de sessão, histórico de navegação e outros dados. As informações roubadas são enviadas aos invasores pelo Telegram.
No macOS, a infecção começa com o download de um script Bash que recupera um arquivo compactado do domínio verify.apexfdn[.]xyz.
O pacote contém um instalador do backdoor CloudSyncD, que apresenta uma falsa solicitação de autorização para capturar a senha do usuário. A credencial é utilizada para executar componentes maliciosos com privilégios elevados por meio do sudo.
O CloudSyncD coleta informações de hardware e sistema operacional e estabelece comunicação com o servidor ccmihr[.]com, permitindo receber comandos e executar novos payloads.
O malware foi documentado pela Jamf Threat Labs em setembro de 2026, após ser identificado em campanhas que utilizavam falsos instaladores do Zoom. A análise destacou o uso de técnicas nativas do macOS, proteção de strings e mecanismos de execução que procuram reduzir a gravação de arquivos maliciosos no disco.
Agentes de inteligência artificial também são comprometidos
Além da instalação de malwares, a campanha apresenta uma capacidade adicional: interceptar e redirecionar o tráfego de modelos de linguagem utilizados por agentes de IA.
Os pacotes conseguem modificar configurações de agentes para redirecionar requisições destinadas ao OpenRouter para uma API controlada pelos invasores. Também registram um servidor MCP malicioso no ambiente da vítima.
Segundo a Elastic Security Labs, essas alterações permitem acessar prompts, históricos de conversas, trechos de código e resultados produzidos pelas ferramentas integradas aos agentes.
O servidor MCP controlado pelos atacantes também pode fornecer instruções incorporadas aos prompts, além de nomes, descrições e parâmetros de ferramentas que influenciam as decisões do modelo.
Dessa forma, os responsáveis pela campanha conseguem não apenas visualizar informações transmitidas pelos agentes, mas também interferir em suas ações posteriores.
A investigação aponta uma operação que combina engenharia social, distribuição de malwares por pacotes npm e manipulação de integrações de inteligência artificial, tendo como principais alvos desenvolvedores e empresas do ecossistema Web3.
