A Microsoft alertou que invasores esconderam malware de roubo de cripto dentro de pacotes públicos npm, criando um novo risco para desenvolvedores, investidores em cripto e usuários de carteiras.
A Microsoft Threat Intelligence afirmou que dois pacotes npm comprometidos, [email protected] e [email protected], estavam “abusando de repositórios do Hugging Face como infraestrutura de exfiltração”. A empresa disse que os pacotes implantam um trojan de acesso remoto, ou RAT, que pode coletar digitações, capturas de tela e credenciais de carteiras de cripto.
Npm é um registro de software público usado por desenvolvedores JavaScript para construir aplicativos e ferramentas web. Quando um desenvolvedor instala um pacote envenenado, o malware pode ser executado silenciosamente no dispositivo e monitorar arquivos sensíveis, senhas ou dados de carteira.
A campanha se destaca porque os invasores usaram o Hugging Face, uma plataforma confiável para projetos de inteligência artificial e aprendizado de máquina, para mover dados roubados. Essa rota pode fazer com que o tráfego pareça menos suspeito do que um link direto para um servidor criminoso desconhecido.
Para os usuários de cripto, isso cria uma preocupação direta com a segurança. Uma máquina de desenvolvedor pode armazenar carteiras de navegador, chaves privadas, arquivos de frase semente (seed phrase), chaves de API de exchange, tokens GitHub e logins de nuvem. Se os invasores coletarem esses detalhes, eles podem atacar carteiras, repositórios de código e sistemas de negociação.
A cobertura relacionada da crypto.news mostra que ataques à cadeia de suprimentos de software continuam sendo um problema atual para o setor de cripto. Um relatório de 25 de maio disse que a campanha de malware TrapDoor se espalhou por mais de 34 pacotes maliciosos nos ecossistemas npm, PyPI e Rust.
Essa campanha visou desenvolvedores de cripto e IA roubando dados de carteira, chaves de API, credenciais de nuvem e acesso SSH por meio de ferramentas de desenvolvedor falsas. Também mostrou como os invasores agora visam as pessoas e os sistemas usados para construir aplicativos de cripto, e não apenas os usuários finais.
A Crypto.news também relatou em março que a Slow Fog havia alertado os desenvolvedores sobre versões maliciosas do Axios. As versões envenenadas incorporaram o malware plain-crypto-js e expuseram desenvolvedores de cripto a RATs multiplataforma e credenciais roubadas através do npm.
O aviso da Microsoft segue outro relatório de malware de suas equipes de segurança. Em 26 de maio, a Microsoft disse que invasores usaram resultados de pesquisa envenenados e algumas interações de chatbot de IA para espalhar downloads falsos de utilitários de PC que instalavam malware de mineração de GPU.
Essa campanha visou usuários com placas de vídeo poderosas, incluindo gamers e entusiastas de hardware. A Microsoft disse que o malware abusou do ScreenConnect, de utilitários Microsoft .NET e de downloads falsos para ferramentas como CrystalDiskInfo e HWMonitor para executar mineradores de cripto.
O mais recente aviso do npm mantém a atenção sobre as etapas básicas de segurança. Os desenvolvedores devem auditar instalações recentes de pacotes, remover dependências suspeitas, rotacionar credenciais expostas e verificar a atividade da carteira. Os usuários de cripto devem evitar armazenar frases semente (seed phrases) em dispositivos conectados e verificar cada transação da carteira antes de assinar.
