Elastic expõe pacotes npm que simulavam uma aceleradora Web3 e distribuíam malware
A pesquisa da Elastic Security Labs documenta uma operação que se passava por aceleradora Web3, distribuía malware para macOS e Windows por pacotes npm e gerava descobertas de segurança falsas em ferramentas de auditoria.
Fonte: Auditando o auditor: desmascarando o Apex Accelerator (elastic.co). Texto preparado com IA a partir dessa fonte.
O que aconteceu e o que fazer
A Elastic Security Labs identificou o pacote npm malicioso @apexacc/cli, ligado a uma operação que se apresentava como aceleradora Web3 chamada Apex, com um site que afirma ter mais de 200 projetos no portfólio. O grupo mirava startups e fundadores de criptomoedas com créditos gratuitos de IA, ferramentas de programação e auditorias de segurança, e anunciou um evento presencial por meio de uma página de convite. As campanhas entregavam o malware CloudSyncD para macOS e um ladrão de informações para Windows que exfiltra dados pelo Telegram. Um agente de programação legítimo foi reempacotado para enviar requisições de modelos por serviços controlados pelos invasores. Todas as 18 ferramentas do pacote @apexacc/audit retornavam descobertas fabricadas, e, em um teste separado, o serviço de pontuação do @apexacc/cli devolveu 51/100 para um projeto fictício, alegando que seu avaliador de IA estava indisponível.
Para uma empresa, o caso pede controles na cadeia de suprimentos de software e no ambiente de desenvolvimento, não apenas uma análise de conteúdo. Na prática, isso significa manter lockfiles e versões fixadas de dependências npm, aplicar uma lista de publicadores permitidos e colocar em quarentena pacotes recém-publicados antes de uso em build. Também vale monitorar o tráfego de saída de estações de desenvolvimento e pipelines de CI, alertando sobre chamadas a endpoints de modelos de IA não cadastrados, e definir uma política para agentes de programação que aceite apenas endpoints aprovados. Ferramentas de auditoria de terceiros devem rodar em sandbox, com seus resultados validados por um segundo método antes de serem levados a decisões de segurança.
Como a consultoria pode ajudar
Diagnóstico da exposição a pacotes npm, ferramentas de auditoria e agentes de programação de origem não verificada no ambiente de desenvolvimento, seguido da implementação de controles de dependências, monitoramento de tráfego de saída e políticas para agentes, com operação contínua sob contrato.
Próximo passo
Se sua empresa usa pacotes npm, agentes de programação ou ferramentas de auditoria de terceiros, envie uma descrição breve do seu caso. Respondemos com uma proposta escopada após um diagnóstico inicial.
Vamos avaliar seu projeto
Respondo com escopo e proposta.