Um novo ataque à cadeia de suprimentos de software comprometeu o popular pacote Python Lightning, resultando na publicação de duas versões maliciosas (2.6.2 e 2.6.3) em 30 de abril de 2026. O ataque, que é uma extensão do incidente Mini Shai-Hulud, visa roubo de credenciais. As versões maliciosas contêm um diretório oculto que executa um script Python para baixar e executar um payload JavaScript ofuscado, permitindo o roubo de credenciais, incluindo tokens do GitHub. Esses tokens são validados e utilizados para injetar um payload em até 50 branches de repositórios. Além disso, o malware modifica pacotes npm locais, aumentando o número da versão e repackaging, o que pode levar à disseminação do malware em sistemas de usuários finais. Os administradores do repositório PyPI já isolaram o projeto, e recomenda-se que os desenvolvedores removam as versões afetadas e revertam para a versão 2.6.1. A investigação sobre como a conta do GitHub do projeto foi comprometida ainda está em andamento.
Fonte: https://thehackernews.com/2026/04/pytorch-lightning-compromised-in-pypi.html
🚨BR DEFENSE CENTER: SECURITY BRIEFING
30/04/2026 • Risco: CRITICO
MALWARE
Ataque à cadeia de suprimentos compromete pacote Python Lightning
RESUMO EXECUTIVO
O ataque à cadeia de suprimentos do pacote Lightning representa um risco significativo para empresas que dependem de bibliotecas de código aberto. A possibilidade de roubo de credenciais e a injeção de código malicioso em repositórios podem resultar em danos financeiros e de reputação, além de implicações legais relacionadas à proteção de dados.
💼 IMPACTO DE NEGÓCIO
Financeiro
Possíveis perdas financeiras devido a roubo de dados e comprometimento de sistemas.
Operacional
Roubo de credenciais e injeção de payloads maliciosos em repositórios.
Setores vulneráveis
['Tecnologia', 'Desenvolvimento de Software', 'Startups']
📊 INDICADORES CHAVE
Mais de 31.100 estrelas no GitHub para o projeto Lightning.
Indicador
Até 50 branches de repositórios podem ser afetados por token roubado.
Contexto BR
O payload malicioso tem 11MB.
Urgência
⚡ AÇÕES IMEDIATAS
1
Verificar se as versões 2.6.2 e 2.6.3 do Lightning estão instaladas.
2
Remover as versões afetadas e reverter para a versão 2.6.1.
3
Monitorar atividades suspeitas em repositórios e sistemas que utilizam o pacote Lightning.
🇧🇷 RELEVÂNCIA BRASIL
CISOs devem se preocupar com a segurança da cadeia de suprimentos, especialmente em ambientes que utilizam pacotes de código aberto amplamente adotados.
⚖️ COMPLIANCE
Implicações legais e de compliance com a LGPD devido ao roubo de dados.
Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).
