Pesquisadores de cibersegurança descobriram um conjunto de 13 pacotes npm que foi usado para distribuir uma família de malware JavaScript até então não documentada, batizada de WeaselBiscuit.
Segundo a OpenSourceMalware, a nova família apresenta semelhanças funcionais com duas linhagens de malware associadas à campanha Contagious Interview, da República Popular Democrática da Coreia (DPRK): BeaverTail e OtterCookie. “Ela é menor, mais leve e enxuta, com muitas das funções mais pesadas removidas por completo”, disse o pesquisador de segurança Paul McCarty, conhecido como 6mile.
Os pacotes identificados são os seguintes:
@biz44/id10-client
@biz44/id12-client
@biz44/id44-client
@biz44/id79-client
@biz44/id95-client
@biz44/id99-client
@biz44/process-runtime-utils
@biz44/runtime-utils
engin1
id79-client
process-lhpm
process-mite
process-tailwind
“É um stealer enxuto que empresta várias funções do BeaverTail e do OtterCookie, mas é muito menor e autocontido”, afirmou Jenn Gile, cofundadora da OpenSourceMalware. “Por isso o nome WeaselBiscuit, porque uma doninha é menor do que uma lontra e podemos dizer que biscoitos são menos sofisticados do que cookies.”
BeaverTail é o nome dado a um malware de roubo de informações e downloader multiplataforma operado por threat actors norte-coreanos por trás da campanha Contagious Interview, com foco em desenvolvedores de software, profissionais de TI e usuários de criptomoedas. O malware está ativo desde, no mínimo, o fim de 2022.
Já o OtterCookie combina funções de roubo de informações com recursos de acesso remoto, o que permite aos operadores executar comandos em hosts comprometidos. O malware foi documentado publicamente pela primeira vez pela NTT Security Holdings em dezembro de 2024.
O WeaselBiscuit chama atenção pela simplicidade. Ele não conta com acesso remoto, persistência, código para esvaziar carteiras de criptomoedas nem capacidade de entregar payloads secundários como o InvisibleFerret. Em vez disso, ele é acionado por uma importação npm, que faz com que o loader, chamado loader.js, busque o malware principal em um servidor Npoint e o execute diretamente na memória.
Durante a execução, ele obtém sua configuração de command and control, ou C2, a partir de um URL separado do Npoint, faz o perfil do host comprometido e coleta dados de armazenamento de extensões do Chrome em Windows, macOS e Linux. Com base em comandos enviados pelo servidor C2, identificado como 103.170.217[.]184:8787, ele também pode registrar o conteúdo da área de transferência e as teclas digitadas em máquinas Windows.
“Embora esse malware não tenha as mesmas funções de roubo de carteira de criptomoedas dos seus irmãos maiores, a capacidade de acessar o armazenamento de extensões do Chrome é financeiramente relevante, porque pode expor o estado de extensões de carteira ou outros dados sensíveis mantidos por extensões”, explicou McCarty. “Ele envia integralmente qualquer arquivo legível e não vazio dentro do diretório Local Extension Settings da extensão, um armazenamento bruto de pares chave/valor do LevelDB.”
A OpenSourceMalware destacou, porém, que apesar da “sobreposição significativa com ferramentas associadas à DPRK e à campanha Contagious Interview”, não há evidências conclusivas em infraestrutura dos operadores, perfil das vítimas, metadados da campanha ou material de assinatura que permitam atribuição definitiva ao regime norte-coreano.
Outros sinais de tática, técnica e procedimento que apontam para a Coreia do Norte incluem:
• o uso do Npoint.io, um serviço leve de armazenamento de JSON on-line, um aspecto já apontado pela NVISO em novembro de 2025 em conexão com a campanha Contagious Interview
• o uso de consultas aninhadas para obter IP público e geolocalização por meio de api.ipify.org e ip-api.com
• semelhanças na arquitetura de C2 que se sobrepõem ao OtterCookie
• o uso de um ID numérico de campanha, como 10, 12, 44, 79, 95 e 99, para identificar cada instalação, em padrão semelhante ao do PolinRider
Se o WeaselBiscuit realmente se confirmar como a mais recente adição ao arsenal de malware da DPRK, esta não seria a primeira vez que threat actors tentam combinar características do BeaverTail e do OtterCookie. Em outubro de 2025, a Cisco Talos afirmou ter identificado um pacote npm chamado node-nvm-ssh que “apresentava características do BeaverTail e do OtterCookie, borrando a distinção entre os dois”.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...