Milhões de desenvolvedores expostos após invasores envenenarem repositório de código popular
Suspeitos de serem hackers norte-coreanos realizaram um dos ataques à cadeia de suprimentos mais sofisticados operacionalmente dos últimos tempos, comprometendo o Axios, uma biblioteca JavaScript baixada aproximadamente 100 milhões de vezes por semana. O ataque, que durou cerca de três horas nas primeiras horas de 31 de março, inseriu código malicioso em softwares usados por milhares de empresas dos setores de saúde, finanças, exchanges de criptomoedas e tecnologia. Pesquisadores de segurança estimam que as versões adulteradas foram baixadas por cerca de 3% dos usuários da biblioteca, potencialmente expondo centenas de milhares de sistemas a trojans de acesso remoto projetados para roubar criptomoedas e credenciais corporativas.
Conteúdo
- Milhões de desenvolvedores expostos após invasores envenenarem repositório de código popular
- Como funciona o comprometimento da cadeia de suprimentos
- Malware multiplataforma instala backdoor persistente
- A máquina de geração de receita digital de Pyongyang
- Uma cascata de vulnerabilidades na cadeia de suprimentos
- Técnicas de evasão e medidas forenses de defesa
- Como proteger a cadeia de suprimentos de software
- Principais pontos
O Axios funciona como um cliente HTTP baseado em promises que permite fazer solicitações assíncronas a APIs tanto no Node.js quanto em navegadores, sendo um componente fundamental para aplicações web modernas. Empresas que vão de prestadores de serviços de saúde a instituições financeiras dependem da biblioteca para simplificar a criação de sites e a troca de dados. Algumas empresas de criptomoedas e de tecnologia que atuam no setor de ativos digitais também usam o software, o que as torna alvos particularmente valiosos para as operações cibernéticas de Pyongyang voltadas à geração de receita. A ampla adoção do Axios em ambientes corporativos cria riscos em cascata para dependências subsequentes e serviços integrados.
O Threat Intelligence Group do Google atribuiu formalmente o incidente ao UNC1069, um agente de ameaças norte-coreano motivado financeiramente e ativo desde pelo menos 2018. O grupo ganhou fama por atacar exchanges de criptomoedas, plataformas de finanças descentralizadas e empresas de capital de risco para financiar os programas nuclear e de mísseis de Pyongyang. Segundo a Mandiant, empresa de inteligência pertencente ao Google, este é o mais recente agravamento da campanha da Coreia do Norte para transformar a cadeia global de suprimentos de software em arma contra alvos econômicos de alto valor.
Charles Carmakal, diretor de tecnologia da Mandiant, explicou que a ameaça terá efeitos de longo prazo.
Prevemos que eles tentarão usar as credenciais e o acesso aos sistemas obtidos recentemente neste ataque à cadeia de suprimentos de software para atacar empresas e roubar criptomoedas. Provavelmente serão necessários meses para avaliar os impactos subsequentes desta campanha.
John Hammond, pesquisador de segurança da Huntress, informou que sua empresa já identificou cerca de 135 dispositivos comprometidos pertencentes a aproximadamente 12 empresas, embora espere que esse número represente apenas a primeira leva de descobertas, à medida que as organizações concluem suas auditorias forenses.
Como funciona o comprometimento da cadeia de suprimentos
O ataque começou quando hackers assumiram o controle da conta npm de @jasonsaayman, principal responsável pela manutenção da biblioteca Axios. Em vez de explorar vulnerabilidades sofisticadas de dia zero, os agentes de ameaças usaram um token de acesso de longa duração para contornar controles de segurança modernos, incluindo fluxos de autenticação baseados em OpenID Connect. Isso permitiu que publicassem diretamente no registro do Node Package Manager duas versões trojanizadas do software, 1.14.1 e 0.30.4, sem acionar alertas de segurança padrão nem exigir autenticação multifator.
Hammond apontou uma falha crítica de configuração que possibilitou o ataque. Mesmo na ramificação v1.x, em que o OIDC Trusted Publishing estava configurado, o fluxo de publicação ainda passava NPM_TOKEN como variável de ambiente junto com as credenciais OIDC. Quando ambos estão presentes, o npm usa o token. Isso significava que o token de longa duração era, na prática, o método de autenticação de todos os responsáveis por publicar, independentemente da configuração OIDC. Essa falha arquitetural permitiu que os invasores contornassem as proteções, apesar de o responsável pela manutenção ter habilitado a autenticação multifator em suas contas, demonstrando como mecanismos de autenticação legados podem comprometer estruturas de segurança modernas.
Os invasores demonstraram preparo cuidadoso e paciência. Dezoito horas antes do ataque principal, publicaram uma versão legítima de uma dependência fantasma chamada plain-crypto-js para criar um histórico de publicações e evitar suspeitas de uma conta sem histórico. Vinte minutos antes do primeiro lançamento malicioso do Axios, publicaram uma versão armada dessa dependência, que continha um script de pós-instalação projetado para ser executado automaticamente quando desenvolvedores instalassem ou atualizassem a biblioteca comprometida. A segunda versão com backdoor foi publicada apenas 39 minutos depois, indicando que o grupo havia automatizado seu processo de implantação para maximizar a distribuição durante a curta janela de oportunidade.
Durante o ataque, os responsáveis pela manutenção enfrentaram grandes dificuldades para retomar o controle. Em uma discussão pública no GitHub, um colaborador afirmou que não conseguia revogar o acesso da conta responsável pela publicação maliciosa e observou que as permissões do invasor eram superiores às suas. Isso criou uma corrida contra o tempo: os hackers mantiveram os direitos de publicação enquanto a comunidade de desenvolvimento tentava conter os danos. O NPM acabou removendo as versões maliciosas três horas após a publicação inicial e colocou o pacote plain-crypto-js sob bloqueio de segurança, substituindo-o por um pacote temporário de segurança uma hora depois.
Malware multiplataforma instala backdoor persistente
Depois de instalado, o componente malicioso implantava um dropper JavaScript ofuscado chamado SILKBELL, que buscava cargas úteis específicas para cada plataforma em um servidor remoto de comando e controle em sfrclak.com. Em sistemas Windows, o malware entregava ferramentas baseadas em PowerShell capazes de executar comandos arbitrários. Usuários de macOS recebiam um binário C++ Mach-O, enquanto instalações Linux eram alvo de um backdoor em Python. Pesquisadores de segurança identificaram esse malware de segundo estágio como WAVESHAPER.V2, uma evolução de um backdoor anteriormente atribuído ao UNC1069 em ataques contra o setor de criptomoedas que remontam a 2023.
A arquitetura técnica do ataque revela uma estratégia deliberada de furtividade e compatibilidade com diferentes plataformas. Em vez de modificar diretamente o código-fonte do Axios, o que seria visível em repositórios públicos e acionaria alertas de revisão de código, os hackers inseriram a funcionalidade maliciosa por meio de uma cadeia de dependências. “Não há nenhuma linha de código malicioso dentro do próprio axios, e é exatamente isso que torna este ataque tão perigoso”, observaram pesquisadores da StepSecurity. O pacote plain-crypto-js era executado por meio de um hook postinstall no arquivo package.json, permitindo que o malware fosse executado silenciosamente durante a instalação antes de apagar seus próprios vestígios e substituir os metadados do pacote por uma versão legítima.
O WAVESHAPER.V2 envia sinais à sua infraestrutura de comando e controle a cada 60 segundos e aceita URLs C2 dinâmicas por meio de argumentos de linha de comando. Esse projeto permite que os invasores troquem a infraestrutura sem precisar implantar o malware novamente. O backdoor oferece quatro funções principais: encerrar processos em execução, listar diretórios com metadados detalhados dos arquivos, incluindo datas e tamanhos, executar comandos do sistema por meio de linguagens de script nativas, como AppleScript no macOS ou comandos de shell no Linux, e injetar binários arbitrários em processos ativos. Uma análise da Elastic Security Labs revelou que o binário para macOS faz referência a caminhos de compilação de desenvolvedores que levam diretamente ao módulo webT do BlueNoroff, associado a campanhas anteriores de malware RustBucket e Hidden Risk, reforçando a atribuição à Coreia do Norte.
A máquina de geração de receita digital de Pyongyang
As operações de hackers da Coreia do Norte se tornaram uma das principais fontes de financiamento de seu programa de armas nucleares, sujeito a sanções. Segundo relatórios das Nações Unidas e estimativas da Casa Branca divulgadas em 2023, cerca de metade do financiamento do desenvolvimento de mísseis de Pyongyang vem de roubos cibernéticos. Nos últimos anos, hackers roubaram bilhões de dólares de bancos e empresas de criptomoedas. Somente no ano passado, agentes norte-coreanos roubaram US$ 1,5 bilhão em criptomoedas em um único ataque recorde, demonstrando sua capacidade de comprometer alvos de alto valor em grande escala.
Ben Read, diretor de inteligência estratégica contra ameaças da Wiz, explicou que a Coreia do Norte age de forma diferente de outros agentes estatais.
A Coreia do Norte não se preocupa com sua reputação nem com a possibilidade de ser identificada mais tarde. Por isso, embora esse tipo de operação seja muito ostensivo e de grande repercussão, eles estão dispostos a pagar esse preço.
Essa tolerância ao risco permite que Pyongyang realize ataques ostensivos à cadeia de suprimentos que outros países poderiam evitar por receio de consequências diplomáticas ou de serem identificados. O comprometimento do Axios segue um padrão estabelecido três anos atrás, quando agentes norte-coreanos teriam se infiltrado na 3CX, fornecedora de software usado por empresas de saúde e redes de hotéis para chamadas de voz e vídeo.
John Hultquist, analista-chefe do Google Threat Intelligence Group, destacou o foco específico do grupo em ativos digitais.
Hackers norte-coreanos têm ampla experiência em ataques à cadeia de suprimentos, que historicamente usaram para roubar criptomoedas. A dimensão total deste incidente ainda não está clara, mas, dada a popularidade do pacote comprometido, esperamos impactos de grande alcance.
O UNC1069 já atacou empresas de tecnologia financeira usando falsas reuniões no Zoom, técnicas de engenharia social e diversas famílias de malware exclusivas, demonstrando um foco persistente e em evolução no ecossistema de criptomoedas.
Uma cascata de vulnerabilidades na cadeia de suprimentos
O incidente envolvendo o Axios ocorre em meio a um aumento preocupante de ataques à cadeia de suprimentos que têm como alvo o ecossistema de software de código aberto. No último mês, equipes de segurança responderam a uma sequência de comprometimentos, incluindo ataques ao Trivy, uma popular ferramenta de análise de segurança, ao LiteLLM, uma biblioteca Python amplamente usada para integrar modelos de IA, e à Telnyx, uma plataforma de comunicação. Embora o Google tenha confirmado que o ataque ao Axios não está relacionado aos recentes problemas na cadeia de suprimentos do TeamPCP, cada invasão bem-sucedida dá aos atacantes novas credenciais e acesso inicial a outros repositórios, criando um ciclo de comprometimentos que se retroalimenta.
Carmakal alertou que a recente onda de ataques gerou um enorme inventário de segredos roubados. “Os segredos roubados nas últimas duas semanas permitirão novos ataques à cadeia de suprimentos de software, comprometimentos de ambientes de software como serviço que levarão ao comprometimento de clientes, ataques de ransomware e extorsão e roubos de criptomoedas nos próximos dias, semanas e meses”, explicou. “Sabemos da existência de centenas de milhares de credenciais roubadas. Há vários agentes por trás desses ataques, com motivações distintas. O raio de impacto do ataque de ontem à cadeia de suprimentos do Axios no npm é amplo e alcança outros pacotes populares que dependem dele.”
Tom Hegel, pesquisador sênior da SentinelOne, ressaltou a natureza invisível da ameaça.
Sempre que você carrega um site, consulta o saldo bancário ou abre um aplicativo no celular, há uma boa chance de o Axios estar funcionando em algum lugar nos bastidores para que isso aconteça. Você não precisa clicar em nada nem cometer um erro. O software em que você já confia fez isso por você.
Essa observação destaca como os ataques à cadeia de suprimentos exploram a confiança implícita dos usuários em componentes de software conhecidos, contornando os treinamentos tradicionais de conscientização sobre segurança e as proteções de endpoints.
Técnicas de evasão e medidas forenses de defesa
Os invasores implementaram medidas sofisticadas para apagar rastros, dificultando a resposta a incidentes e a detecção. Após a execução, o malware não apenas apagava os próprios arquivos de instalação, mas também manipulava as informações de versão para enganar as equipes de defesa. O pacote malicioso plain-crypto-js informava ser a versão 4.2.0, em vez da 4.2.1, confundindo as equipes de segurança que verificavam a integridade do pacote. Essa falsificação de versão visava convencer os administradores de que seus sistemas estavam executando software legítimo, quando, na verdade, haviam instalado a versão comprometida.
Tomislav Pericin, arquiteto-chefe de software da ReversingLabs, descreveu o ataque como um modelo para operações futuras, e não como um caso isolado.
O nível de sofisticação operacional documentado aqui, incluindo credenciais comprometidas de responsáveis pela manutenção, cargas úteis preparadas para três sistemas operacionais, ataques às duas ramificações de lançamento em menos de 40 minutos e destruição forense integrada, revela um agente de ameaças que planejou a operação para ser escalável. Se esta campanha agora estiver aparecendo no PyPI e no NuGet, isso é coerente com o que a mecânica do ataque já indica: o objetivo era alcançar o maior número possível de desenvolvedores.
Agora, as organizações precisam auditar não apenas as dependências do npm, mas todos os gerenciadores de pacotes que alimentam seus processos de compilação. Hammond afirmou que o momento é especialmente preocupante diante das atuais tendências de desenvolvimento rumo à automação. Ele observou que o ataque ocorreu em um momento perfeito, considerando a rápida adoção de agentes de IA que geram software nas organizações sem revisão ou mecanismos de proteção. O risco vai além dos usuários diretos do Axios e alcança qualquer organização cujas ferramentas de desenvolvimento resolvam dependências automaticamente. Isaac Evans, fundador da Semgrep, observou que mesmo desenvolvedores que fixaram as versões, mantiveram arquivos de lock e seguiram práticas recomendadas ainda poderiam ter sido afetados, porque o ambiente de desenvolvimento integrado buscou a dependência nos bastidores.
Como proteger a cadeia de suprimentos de software
Equipes de segurança de diversos setores correm agora para avaliar a exposição e corrigir sistemas comprometidos. Organizações que usam o Axios devem auditar imediatamente suas árvores de dependências em busca das versões 1.14.1 e 0.30.4, voltar para versões comprovadamente seguras, como 1.14.0 ou 0.30.3, e trocar todas as credenciais acessíveis durante a janela de instalação. Os indicadores técnicos de comprometimento incluem a presença do plain-crypto-js em diretórios node_modules, conexões de rede com sfrclak.com (endereço IP 142.11.206.73) e processos suspeitos em diretórios temporários, como /Library/Caches/com.apple.act.mond em sistemas macOS.
As medidas imediatas de mitigação incluem fixar versões sabidamente seguras do Axios nos arquivos package-lock.json para impedir atualizações acidentais, verificar se a dependência maliciosa está presente, encerrar processos maliciosos identificados, bloquear o domínio de comando e controle identificado nas bordas da rede, isolar os sistemas afetados das redes de produção e trocar todos os segredos e credenciais que possam ter sido expostos durante o período do comprometimento. As organizações também devem revisar os registros de acesso em busca de uso não autorizado de chaves de API ou contas de serviço que possam ter sido coletadas pelo malware.
Ilkka Turunen, CTO de campo da Sonatype, destacou os problemas fundamentais de confiança revelados pelo incidente. “Este ataque mostra que os hackers agora exploram a confiança que as pessoas depositam no código, e não no próprio código”, explicou. “A capacidade maliciosa foi introduzida por meio de uma dependência preparada e projetada para apagar os próprios rastros, o que tornou o ataque mais difícil de detectar e de compreender. Não se trata apenas de malware: isso revela um método de atuação mais deliberado e maduro.” Mike Puglia, executivo de segurança da Kaseya, observou que os incidentes reforçam a fragilidade do ecossistema mundial de software, no qual o comprometimento de uma única conta pode expor dezenas de milhares de organizações em poucas horas.
Principais pontos
- O grupo norte-coreano de ameaças UNC1069 comprometeu a biblioteca JavaScript Axios, que recebe 100 milhões de downloads semanais e está presente em aproximadamente 80% dos ambientes de nuvem
- As versões maliciosas 1.14.1 e 0.30.4 ficaram disponíveis por cerca de três horas em 31 de março e foram baixadas por aproximadamente 3% dos usuários, o que representa potencialmente 600 mil downloads
- O ataque usou uma dependência fantasma chamada plain-crypto-js para instalar o WAVESHAPER.V2, um backdoor multiplataforma capaz de infectar sistemas Windows, macOS e Linux
- O Google Mandiant espera que o grupo use as credenciais roubadas em operações de longo prazo para roubar criptomoedas e financiar os programas nuclear e de mísseis da Coreia do Norte
- O malware tinha recursos avançados para apagar rastros, incluindo autodestruição e falsificação de versão para se apresentar como 4.2.0 em vez de 4.2.1 e escapar da detecção
- As organizações devem auditar as árvores de dependências, trocar todas as credenciais, bloquear o domínio C2 sfrclak.com e o IP 142.11.206.73 e voltar imediatamente para versões seguras do Axios
- O comprometimento ocorreu por meio de um token de acesso de longa duração que contornou os controles de autenticação OIDC, evidenciando a necessidade de eliminar credenciais legadas
