Pesquisadores de cibersegurança descobriram um conjunto de sete pacotes maliciosos do npm que visavam o ecossistema de ferramentas de frontend Vite como parte de um ataque de supply chain.
A campanha de pacotes maliciosos, batizada de ViteVenom pela Checkmarx, amplia a operação ChainVeil, que foi observada usando uma infraestrutura de command and control (C2) em blockchain inédita, com quatro camadas, distribuída entre Tron, Aptos e Binance Smart Chain, para entregar um trojan de acesso remoto (RAT) capaz de abrir uma shell reversa, coletar credenciais, exfiltrar arquivos e injetar um backdoor persistente.
“Essa tática torna extremamente difícil desativar ou destruir a infraestrutura de C2”, afirmou o pesquisador da Checkmarx, Pavan Gudimalla, em uma análise publicada no mês passado.
A atividade foi atribuída a um threat actor chamado SuccessKey, com evidências de ações maliciosas detectadas desde 27 de fevereiro de 2026, quando carteiras de criptomoedas ligadas ao ViteVenom foram ativadas.
Enquanto os typosquats publicados no npm em conexão com a ChainVeil se passavam por bibliotecas de Tailwind, Sass, ORM e ferramentas de limitação de taxa, a versão mais recente mira especificamente desenvolvedores que constroem aplicações usando o Vite, ferramenta de build para JavaScript e frontend.
A lista de pacotes identificados, publicados entre 29 de junho e 3 de julho de 2026, é a seguinte:
@uw010010/vite-tree, 1.070 downloads
@vite-tab/tab, 289 downloads
@vite-ln/build-ts, 252 downloads
@vite-mcp/vite-type, 239 downloads
@vite-pro/vite-ui, 200 downloads
@vitets/vite-ts, 194 downloads
@vite-ts/vite-ui, 176 downloads
Outra diferença importante entre os dois grupos é que, ao contrário dos typosquats sem escopo da ChainVeil, como “rate-limit-flexible”, o ViteVenom usa nomes de pacotes com escopo para tentar se passar pelo namespace “@vitejs/*” e transmitir uma aparência de legitimidade.
O principal ponto em comum entre as duas campanhas é o uso de uma infraestrutura compartilhada na segunda camada, usada para distribuir o RAT.
Isso envolve os mesmos endereços de carteira na Tron e de contas na Aptos, que apontam para a mesma transação na Binance Smart Chain (BSC) que leva ao malware.
Assim como no caso da ChainVeil, o código malicioso não é executado no momento da instalação, mas sim quando é importado, o que reduz a chance de detecção por soluções de segurança em endpoint.
Ele atua como um loader ao consultar a infraestrutura em blockchain para obter a próxima etapa:
Consultar a blockchain da Tron em busca da transação mais recente da carteira do atacante.
Decodificar e reverter o campo de dados da transação para obter um hash de transação na BSC.
Consultar a transação na BSC para extrair o payload criptografado do campo de entrada.
Descriptografar o payload usando uma chave hardcoded.
“O atacante armazena ponteiros para o payload como dados de transação em blockchains públicas, em vez de usar nomes de domínio que podem ser apreendidos, o que torna a infraestrutura praticamente impossível de derrubar”, explicou Gudimalla.
Se o método de recuperação do payload baseado na Tron falhar, o malware usa a Aptos como alternativa.
O payload, por sua vez, consulta a blockchain para recuperar a configuração de C2 e um loader da próxima etapa, responsável por iniciar o RAT.
Em paralelo, existe um mecanismo de fallback que busca o RAT diretamente do servidor de C2 por HTTP, contornando completamente a blockchain.
Usuários que instalaram os pacotes são aconselhados a removê-los imediatamente, auditar as dependências, rotacionar todas as credenciais e verificar se houve modificações não autorizadas nos arquivos .bashrc, .zshrc e .profile.
“As diferenças superficiais, como nomes de pacotes distintos, contas de mantenedores diferentes, carteiras de primeira camada diferentes e caminhos de arquivos maliciosos diferentes, são consistentes com a forma como um único operador poderia compartimentar múltiplas rotas de distribuição para limitar a exposição”, afirmou a Checkmarx.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...