Pesquisadores de cibersegurança identificaram um ataque à cadeia de suprimentos visando mais de uma dúzia de pacotes associados ao GlueStack para entrega de malware.
O malware, introduzido por meio de uma modificação em "lib/commonjs/index.js", permite que um atacante execute comandos shell, tire capturas de tela e faça upload de arquivos para máquinas infectadas, informou Aikido Security, destacando que esses pacotes juntos somam quase 1 milhão de downloads semanais.
O acesso não autorizado poderia então ser usado para realizar várias ações subsequentes como mineração de criptomoedas, furto de informações sensíveis e até mesmo desligar serviços.
A Aikido informou que a primeira detecção de comprometimento de pacote ocorreu em 6 de junho de 2025, às 21:33 GMT.
A lista dos pacotes impactados e as versões afetadas está abaixo:
- @gluestack-ui/utils versão 0.1.16 (101 Downloads)
- @gluestack-ui/utils versão 0.1.17 (176 Downloads)
- @react-native-aria/button versão 0.2.11 (174 Downloads)
- @react-native-aria/checkbox versão 0.2.11 (577 Downloads)
- @react-native-aria/combobox versão 0.2.8 (167 Downloads)
- @react-native-aria/disclosure versão 0.2.9 (N/A)
- @react-native-aria/focus versão 0.2.10 (951 Downloads)
- @react-native-aria/interactions versão 0.2.17 (420 Downloads)
- @react-native-aria/listbox versão 0.2.10 (171 Downloads)
- @react-native-aria/menu versão 0.2.16 (54 Downloads)
- @react-native-aria/overlay versão 0.3.16 (751 Downloads)
- @react-native-aria/radio versão 0.2.14 (570 Downloads)
- @react-native-aria/slider versão 0.2.13 (264 Downloads)
- @react-native-aria/switch versão 0.2.5 (56 Downloads)
- @react-native-aria/tabs versão 0.2.14 (170 Downloads)
- @react-native-aria/toggle versão 0.2.12 (589 Downloads)
- @react-native-aria/utils versão 0.2.13 (341 Downloads)
Além disso, o código malicioso injetado nos pacotes é similar ao trojan de acesso remoto entregue após o comprometimento de outro pacote npm "rand-user-agent" no mês passado, indicando que os mesmos atores de ameaças podem estar por trás dessa atividade.
O trojan é uma versão atualizada que suporta dois novos comandos para coletar informações do sistema ("ss_info") e o endereço IP público do host ("ss_ip").
Os mantenedores do projeto desde então revogaram o token de acesso e marcaram as versões impactadas como obsoletas.
Usuários que podem ter baixado as versões maliciosas são recomendados a reverter para uma versão segura para mitigar quaisquer ameaças potenciais.
"O impacto potencial é massivo em escala, e o mecanismo de persistência do malware é particularmente preocupante – os atacantes mantêm acesso às máquinas infectadas mesmo após a atualização dos pacotes pelos mantenedores," disse a empresa em comunicado.
Pacotes Maliciosos Encontrados no npm Desencadeiam Recursos Destrutivos.
O desenvolvimento acontece enquanto a Socket descobriu dois pacotes npm nocivos – express-api-sync e system-health-sync-api – que se passam por utilitários legítimos mas implantam wipers que podem deletar diretórios de aplicações inteiras.
Publicados pela conta "botsailer" (email: anupm019@gmail[.]com), os pacotes foram baixados 112 e 861 vezes, respectivamente, antes de serem retirados.
O primeiro dos dois pacotes, express-api-sync, afirma ser uma API Express para sincronizar dados entre dois bancos de dados.
No entanto, uma vez instalado e adicionado por um desenvolvedor desavisado à sua aplicação, ele desencadeia a execução de código malicioso ao receber uma solicitação HTTP com uma chave codificada "DEFAULT_123".
Ao receber a chave, ele executa o comando Unix "rm -rf *" para deletar recursivamente todos os arquivos do diretório atual e abaixo, incluindo código-fonte, arquivos de configuração, ativos e bancos de dados locais.
O outro pacote é muito mais sofisticado, atuando tanto como um ladrão de informações quanto um wiper, enquanto também modifica seus comandos de exclusão com base se o sistema operacional é Windows ("rd /s /q .") ou Linux ("rm -rf *").
"Onde express-api-sync é um instrumento bruto, system-health-sync-api é um canivete suíço de destruição com coleta de inteligência embutida," disse o pesquisador de segurança Kush Pandya.
Um aspecto notável do pacote npm é que ele usa email como um canal de comunicação secreto, conectando-se à caixa de correio controlada pelo atacante via credenciais SMTP codificadas.
A senha é ofuscada usando codificação Base64, enquanto o nome de usuário aponta para um endereço de email com um domínio associado a uma agência imobiliária baseada na Índia ("auth@corehomes[.]in").
"Cada evento significativo dispara um email para anupm019@gmail[.]com," disse a Socket.
O e-mail inclui a URL completa do backend, expondo potencialmente detalhes de infraestrutura interna, ambientes de desenvolvimento ou servidores de staging que não deveriam ser conhecidos publicamente.
O uso de SMTP para exfiltração de dados é astuto, pois a maioria dos firewalls não bloqueia o tráfego de email de saída, permitindo que o tráfego malicioso se misture com emails legítimos de aplicativos.
Além disso, o pacote registra endpoints em "/_/system/health" e "/_/sys/maintenance" para liberar os comandos de destruição específicos da plataforma, com o último atuando como um mecanismo de fallback caso a porta dos fundos principal seja detectada e bloqueada.
"Os atacantes primeiro verificam a porta dos fundos via GET /_/system/health que retorna o hostname do servidor e status," Pandya explicou.
"Eles podem testar com modo de simulação se configurado, então executar a destruição usando POST /_/system/health ou o ponto de backup POST /_/sys/maintenance com a chave 'HelloWorld.'"
A descoberta dos dois novos pacotes npm mostra que os atores de ameaças estão começando a se diversificar além de usar bibliotecas falsas para furto de informações e criptomoedas para focar em sabotagem de sistema -- algo de um desenvolvimento incomum, pois não oferecem benefícios financeiros.
Pacote PyPI se Passa por Ferramenta de Crescimento no Instagram para Colher Credenciais
Isso também acontece enquanto a firma de segurança da cadeia de suprimentos de software descobriu um novo harvester de credenciais baseado em Python, imad213, no repositório Python Package Index (PyPI) que afirma ser uma ferramenta de crescimento no Instagram.
De acordo com estatísticas publicadas em pepy.tech, o pacote foi baixado 3.242 vezes.
"O malware usa codificação Base64 para esconder sua verdadeira natureza e implementa um interruptor de desligamento remoto através de um arquivo de controle hospedado na Netlify," disse Pandya.
"Quando executado, ele solicita aos usuários as credenciais do Instagram e as transmite para dez diferentes serviços de bots de terceiros enquanto finge impulsionar a contagem de seguidores."
A biblioteca Python foi carregada por um usuário chamado im_ad__213 (aka IMAD-213), que se juntou ao registro em 21 de março de 2025, e upou outros três pacotes que podem colher credenciais do Facebook, Gmail, Twitter e VK (taya, a-b27) ou utilizar o Apache Bench para mirar plataformas de streaming e APIs com ataques de distributed denial-of-service (DDoS) (poppo213).
A lista de pacotes, que ainda estão disponíveis para download no PyPI, é a seguinte:
- imad213 (3.242 Downloads)
- taya (930 Downloads)
- a-b27 (996 Downloads)
- poppo213 (3.165 Downloads)
Em um documento README.md no GitHub publicado por IMAD-213 cerca de dois dias antes do "imad213" ser carregado no PyPI, o ator de ameaça afirma que a biblioteca é principalmente para "propósitos educacionais e de pesquisa" e observa que eles não são responsáveis por qualquer uso indevido.
A descrição no GitHub também inclui uma "dica de segurança enganosa", instando os usuários a utilizarem uma conta falsa ou temporária no Instagram para evitar problemas com suas contas principais.
"Isso cria uma falsa segurança, os usuários pensam que estão sendo cautelosos enquanto ainda entregam credenciais válidas ao atacante," Pandya disse.
Uma vez lançado, o malware se conecta a um servidor externo e lê um arquivo de texto ("pass.txt") e prossegue com a execução apenas se o conteúdo do arquivo corresponder à string "imad213".
O interruptor de desligamento pode servir a vários propósitos, permitindo ao ator de ameaça determinar quem tem acesso para executar a biblioteca ou desligar todas as cópias baixadas simplesmente mudando o conteúdo do arquivo de controle.
Na próxima etapa, a biblioteca solicita ao usuário para inserir suas credenciais do Instagram, que são então salvas localmente em um arquivo chamado "credentials.txt" e transmitidas para dez diferentes sites duvidosos de serviços de bots, alguns dos quais ligam para uma rede de ferramentas de crescimento no Instagram turcas provavelmente operadas pela mesma entidade.
Os domínios foram registrados em junho de 2021.
"A emergência deste harvester de credenciais revela tendências preocupantes em malware direcionado a redes sociais," disse a Socket.
Com dez diferentes serviços de bots recebendo credenciais, estamos vendo os estágios iniciais de lavagem de credenciais – onde logins roubados são distribuídos por vários serviços para obscurecer sua origem.
Publicidade
A Dola é uma IA que funciona diretamente no WhatsApp ou Telegram, permitindo que você gerencie sua agenda — seja do Google Calendar ou do iPhone — de forma simples e intuitiva, mandando mensagens de texto, áudio ou até imagens.
Com a Dola, você recebe lembretes inteligentes, ligações na hora dos compromissos, resumo diário da sua agenda, pode fazer perguntas a qualquer momento e até receber, todos os dias, a previsão do tempo.
Perfeita para quem busca mais organização, foco e produtividade no dia a dia.
E o melhor: é gratuito! Experimente agora.
Saiba mais...