Pesquisadores em cibersegurança identificaram diversos pacotes maliciosos nos ecossistemas npm, Python e Ruby que utilizam o Discord como canal de comando e controle (C2) para transmitir dados roubados a webhooks controlados pelos atacantes.
Os webhooks do Discord permitem enviar mensagens diretamente para canais da plataforma sem a necessidade de bots ou autenticação, tornando-se um método atraente para invasores exfiltrarem informações para canais sob seu domínio.
“Importante destacar que as URLs dos webhooks funcionam apenas como canais de escrita”, explica Olivia Brown, pesquisadora da Socket, em sua análise.
“Elas não expõem o histórico do canal, e os defensores não conseguem acessar mensagens anteriores apenas com o conhecimento da URL.”
A empresa especializada em segurança da cadeia de suprimentos de software identificou vários pacotes que exploram os webhooks do Discord de formas distintas:
- mysql-dumpdiscord (npm): exfiltra arquivos de configuração dos desenvolvedores, como config.json, .env, ayarlar.js e ayarlar.json, enviando-os para um webhook do Discord;
- nodejs.discord (npm): usa um webhook para registrar alertas — uma técnica que nem sempre é maliciosa;
- malinssx, malicus e maliinn (PyPI): operam um servidor C2 via Discord, enviando uma requisição HTTP ao canal toda vez que o pacote é instalado com “pip install <nome_do_pacote>”;
- sqlcommenter_rails (RubyGems[.]org): coleta informações do host, incluindo arquivos sensíveis como “/etc/passwd” e “/etc/resolv.conf”, e envia os dados para um webhook fixo no Discord.
Brown destaca o impacto dessa tática: “O uso abusivo de webhooks do Discord como canais C2 altera a dinâmica econômica dos ataques na cadeia de suprimentos”.
Por serem gratuitos e rápidos, os invasores evitam a necessidade de manter sua própria infraestrutura.
Além disso, esse método se mistura ao código legítimo e às regras de firewall, viabilizando a exfiltração mesmo em ambientes protegidos.
“Quando combinados a hooks de instalação ou scripts de build, pacotes maliciosos com mecanismo C2 via Discord podem furtar arquivos .env, chaves de API e detalhes da máquina hospedeira e dos runners de integração contínua muito antes do monitoramento em tempo real detectar o aplicativo”, completa a pesquisadora.
A pesquisa também revelou 338 pacotes maliciosos atribuídos a atores norte-coreanos ligados à campanha Contagious Interview.
Eles usaram essas publicações para distribuir malwares como HexEval, XORIndex e loaders encriptados que ativam o BeaverTail.
Esses pacotes foram baixados mais de 50 mil vezes.
“Nesta última onda, os atacantes usaram mais de 180 identidades falsas criadas com novos aliases no npm e e-mails de registro. Também operaram dezenas de servidores de comando e controle (C2)”, relatou o pesquisador Kirill Boychenko.
Os alvos da campanha são desenvolvedores de Web3, criptomoedas e blockchain, além de profissionais técnicos em busca de emprego.
Esses indivíduos são abordados em plataformas como LinkedIn com ofertas atraentes. Eles recebem a tarefa de clonar um repositório contaminado que referencia um pacote malicioso (exemplo: eslint-detector) já publicado no npm.
Quando executado localmente, o pacote atua como um stealer — o BeaverTail — que rouba credenciais de navegadores, dados de carteiras de criptomoedas, informações do macOS Keychain, registros de teclas, conteúdo da área de transferência e captura de telas.
O malware também baixa payloads adicionais, incluindo um backdoor Python multiplataforma chamado InvisibleFerret.
Muitos dos pacotes submetidos pelos invasores são typosquats de versões legítimas, como “dotevn”, especialmente relacionados a Node.js, Express ou frameworks frontend como React.
Também foram encontrados pares que imitam kits Web3, como “ethrs.js”.
“Contagious Interview não é um hobby criminoso; funciona como uma linha de montagem ou operação em modelo de fábrica”, afirma Boychenko.
“É uma ação dirigida pelo Estado, com metas claras e recursos permanentes, não um grupo amador de fim de semana. Remover um pacote malicioso não basta se a conta do publicador continuar ativa.”
Segundo o especialista, “a campanha indica uma operação sustentável, que enxerga o ecossistema npm como um canal renovável para acesso inicial.”
Publicidade
Conheça a Solyd One, e tenha acesso a todos os cursos de segurança ofensiva da Solyd, todas as certificações práticas, incluindo a SYCP, 2 CTFs anuais com prêmios de até 30 mil reais, dezenas de laboratórios realísticos, suporte, comunidade e muito mais. Saiba mais...