Pacotes npm do Mastra comprometidos em ataque à cadeia de suprimentos

BR Defense Center (By River de Morais e Silva)
malware

Um ataque à cadeia de suprimentos de software, denominado easy-day-js, comprometeu 144 pacotes npm associados ao namespace Mastra, um framework popular de JavaScript e TypeScript para aplicações de inteligência artificial. O ataque foi identificado por empresas de segurança como JFrog, SafeDep, Socket e StepSecurity. Um único usuário npm, identificado como ’ehindero’, publicou mais de 140 pacotes maliciosos em um curto espaço de tempo. Embora os pacotes infectados não contenham código malicioso, eles dependem de uma biblioteca de terceiros chamada ’easy-day-js’, que foi alterada para incluir um payload ofuscado. Esse payload é ativado durante um hook de pós-instalação e se conecta a um servidor controlado pelos atacantes para baixar um trojan que rouba informações, incluindo dados de carteiras de criptomoedas. O ataque afetou pacotes amplamente utilizados, como o @mastra/core, que possui mais de 918 mil downloads semanais. A Npm já removeu as versões maliciosas, mas qualquer ambiente que tenha instalado essas versões deve ser considerado potencialmente comprometido.

Fonte: https://thehackernews.com/2026/06/144-mastra-npm-packages-compromised-via.html

⚠️
BR DEFENSE CENTER: SECURITY BRIEFING
17/06/2026 • Risco: ALTO
MALWARE

Pacotes npm do Mastra comprometidos em ataque à cadeia de suprimentos

RESUMO EXECUTIVO
O ataque easy-day-js comprometeu pacotes npm do Mastra, afetando a segurança de sistemas que utilizam essas bibliotecas. A necessidade de ações corretivas é urgente, considerando o potencial impacto financeiro e de conformidade com a LGPD.

💼 IMPACTO DE NEGÓCIO

Financeiro
Possíveis perdas financeiras devido ao roubo de dados e comprometimento de sistemas.
Operacional
Roubo de informações sensíveis, incluindo dados de carteiras de criptomoedas.
Setores vulneráveis
['Tecnologia', 'Financeiro', 'E-commerce']

📊 INDICADORES CHAVE

144 pacotes npm comprometidos Indicador
Mais de 918 mil downloads semanais do pacote @mastra/core Contexto BR
Mais de 140 pacotes maliciosos publicados em um curto espaço de tempo Urgência

⚡ AÇÕES IMEDIATAS

1 Verificar se pacotes npm afetados foram instalados em ambientes de desenvolvimento e produção.
2 Reverter para versões seguras dos pacotes e rotacionar credenciais.
3 Monitorar sistemas para atividades suspeitas e artefatos relacionados ao ataque.

🇧🇷 RELEVÂNCIA BRASIL

CISOs devem se preocupar com a segurança da cadeia de suprimentos, especialmente em tecnologias amplamente utilizadas.

⚖️ COMPLIANCE

Implicações legais e de compliance com a LGPD em caso de vazamento de dados.
Status
mitigado
Verificação
alta
BR Defense Center

Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).