Novas ondas da campanha ‘PhantomRaven’ estão atingindo o registro npm, com dezenas de pacotes maliciosos que roubam dados sensíveis de desenvolvedores JavaScript.
A campanha foi inicialmente descoberta em outubro de 2025 por pesquisadores da empresa de cibersegurança Koi.
Segundo eles, a operação estava ativa desde agosto e já havia publicado 126 pacotes maliciosos na plataforma npm.
A empresa de segurança de aplicações Endor Labs identificou três novas ondas do ataque PhantomRaven entre novembro de 2025 e fevereiro de 2026.
Nessa fase, foram distribuídos 88 pacotes por meio de 50 contas descartáveis.
Na maior parte dos casos, os invasores usaram a técnica conhecida como ‘slopsquatting’ para imitar projetos populares, como Babel e GraphQL Codegen.
Eles publicaram pacotes maliciosos com nomes que parecem ter sido sugeridos por modelos de linguagem (LLMs).
De acordo com a Endor Labs, 81 desses pacotes ainda estão disponíveis no registro npm.
O PhantomRaven utiliza uma técnica para evitar detecção chamada Remote Dynamic Dependencies (RDD).
Nesse método, o arquivo ‘package.json’ especifica uma dependência hospedada em uma URL externa, o que elimina a necessidade de incluir código malicioso diretamente no pacote.
Isso dificulta a inspeção automática.
Quando um desenvolvedor instala o pacote com ‘npm install’, a dependência infectada é baixada automaticamente do servidor do atacante e executada.
A pesquisa da Endor Labs mostra que o malware coleta diversas informações sensíveis da máquina comprometida, como e-mails encontrados em arquivos de configuração (.gitconfig, .npmrc) e variáveis de ambiente.
Tokens de CI/CD das plataformas GitHub, GitLab, Jenkins e CircleCI também são alvos da coleta.
O malware ainda extrai dados do sistema, incluindo IP, hostname, sistema operacional e versão do Node.js, para criar uma “impressão digital” da máquina infectada.
Na fase final, o pacote malicioso envia os dados roubados para o servidor de comando e controle (C2) do atacante.
Normalmente, essa exfiltração ocorre via HTTP GET, mas os invasores também utilizam HTTP POST e WebSocket para garantir redundância.
A Endor Labs observou que a infraestrutura usada nas quatro ondas da campanha permaneceu consistente, com domínios contendo a palavra ‘artifact’, hospedados na Amazon Elastic Compute Cloud (EC2) e sem certificados TLS.
O código malicioso praticamente não mudou: 257 das 259 linhas permaneceram idênticas em todas as ondas.
No entanto, os atacantes evoluíram em sua operação, rotacionando contas npm e e-mails, alterando metadados dos pacotes e modificando endpoints PHP.
Além disso, aumentaram a frequência das publicações nas fases mais recentes, chegando a adicionar quatro pacotes em um único dia, 18 de fevereiro.
Apesar da baixa complexidade técnica, a campanha PhantomRaven segue ativa, mantendo a mesma técnica, padrões de infraestrutura e estrutura do payload.
Com ajustes mínimos em domínios, endpoints, contas npm e nomes de dependências, os invasores continuam operando.
Para se proteger, desenvolvedores devem verificar a legitimidade dos pacotes utilizados, preferir fontes confiáveis e evitar copiar sugestões de chatbots de IA ou outras fontes não verificadas.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...