Worm de supply chain compromete pacotes npm e se propaga roubando tokens de desenvolvedores

Pesquisadores de segurança identificaram uma nova campanha altamente sofisticada que compromete pacotes do ecossistema npm para distribuir um worm auto-propagável capaz de se espalhar por meio do roubo de credenciais de desenvolvedores. A atividade, monitorada pelas empresas Socket e StepSecurity, foi denominada CanisterSprawl e representa mais uma evolução crítica nos ataques à cadeia de suprimentos de software.

O ataque começa com a inserção de código malicioso em pacotes legítimos publicados no npm. Quando um desenvolvedor instala uma dessas bibliotecas comprometidas, um script do tipo postinstall é automaticamente executado no ambiente local. Esse script inicia a coleta silenciosa de dados sensíveis, incluindo tokens npm, chaves SSH, credenciais de cloud (AWS, Google Cloud e Azure), arquivos .env, históricos de shell e configurações de ferramentas como Docker, Kubernetes e Terraform.

A partir desse ponto, o ataque entra em sua fase mais perigosa: a propagação. Utilizando os tokens npm roubados, o malware publica novas versões comprometidas de pacotes no repositório oficial, ampliando o alcance da infecção. Esse comportamento transforma ambientes de desenvolvimento comprometidos em vetores ativos de disseminação, caracterizando um worm de supply chain com capacidade de escala exponencial.

Os dados coletados são exfiltrados para servidores controlados pelos invasores, incluindo um webhook HTTPS e um canister na rede ICP (Internet Computer Protocol). Esse uso de infraestrutura descentralizada torna a operação mais resiliente a tentativas de derrubada, dificultando a resposta por parte de equipes de segurança.

Além do ecossistema JavaScript, o malware também incorpora lógica de propagação para o ambiente Python (PyPI). Ele cria um payload baseado em .pth, que é executado automaticamente quando o interpretador Python é iniciado. Caso encontre credenciais válidas, o código utiliza ferramentas como Twine para publicar pacotes maliciosos, expandindo o ataque para múltiplos ecossistemas de desenvolvimento.

Outro ponto relevante é a sofisticação da coleta de dados. O malware tenta acessar informações armazenadas em navegadores baseados em Chromium e até dados de extensões de carteiras de criptomoedas, ampliando o impacto potencial para além do ambiente corporativo.

A campanha também se conecta a uma série de outras atividades recentes no ecossistema open source. Pesquisadores observaram pacotes maliciosos disfarçados como ferramentas Kubernetes que instalam proxies SOCKS5, servidores SFTP e até proxies de modelos de linguagem (LLM). Esses componentes podem ser usados tanto para movimentação lateral quanto para interceptação e exfiltração de dados sensíveis, incluindo chaves de API e prompts de IA.

Outro vetor identificado envolve o abuso de workflows do GitHub Actions, especialmente o gatilho pull_request_target. Nesse cenário, invasores automatizam a busca por repositórios vulneráveis, injetam código malicioso em pipelines CI/CD e tentam extrair credenciais durante a execução dos builds. Embora a taxa de sucesso observada seja inferior a 10%, o ataque demonstra viabilidade em escala, principalmente contra projetos menores e menos protegidos.

O cenário reforça uma tendência clara: ataques à cadeia de suprimentos estão se tornando mais automatizados, multi-plataforma e resilientes. Em vez de atacar diretamente infraestruturas corporativas, os hackers exploram o elo mais fraco — o ambiente de desenvolvimento — para comprometer software na origem.

Organizações devem adotar medidas como uso de tokens com escopo limitado, autenticação multifator em repositórios, monitoramento de dependências, validação de integridade de pacotes e proteção de pipelines CI/CD. Além disso, ferramentas de análise de comportamento e segurança de código são essenciais para detectar atividades anômalas antes que o impacto se amplifique.