Pypi

Pesquisadores em cibersegurança identificaram uma nova campanha maliciosa ligada ao grupo Lazarus, da Coreia do Norte, que utiliza pacotes maliciosos no npm e no PyPI. Nomeada de ‘graphalgo’, a campanha tem como alvo desenvolvedores através de plataformas como LinkedIn e Reddit, oferecendo falsas oportunidades de emprego em uma empresa fictícia de blockchain. Os pacotes, como ‘bigmathutils’, atraíram mais de 10.000 downloads antes de serem atualizados com cargas maliciosas. A estratégia envolve a criação de repositórios no GitHub que parecem legítimos, mas que contêm dependências maliciosas. Uma vez instaladas, essas dependências permitem que um trojan de acesso remoto (RAT) colete informações do sistema e execute comandos. Além disso, outra descoberta revelou um pacote chamado ‘duer-js’, que rouba informações sensíveis e extorque pagamentos em criptomoedas. Essa situação destaca a crescente sofisticação das ameaças cibernéticas, especialmente em ecossistemas de código aberto, e a necessidade de vigilância constante por parte dos desenvolvedores e empresas.

Pesquisadores de cibersegurança identificaram um novo ataque à cadeia de suprimentos que comprometeu pacotes legítimos nos repositórios npm e Python Package Index (PyPI). As versões comprometidas dos pacotes @dydxprotocol/v4-client-js (npm) e dydx-v4-client (PyPI) foram utilizadas para roubo de credenciais de carteiras e execução remota de código. Os atacantes, que aparentemente obtiveram acesso às credenciais de publicação legítimas, introduziram códigos maliciosos que visam operações sensíveis de criptomoedas. O pacote npm contém um ladrão de carteiras que coleta frases-semente e informações do dispositivo, enquanto a versão do PyPI inclui um trojan de acesso remoto (RAT) que se conecta a um servidor externo para executar comandos. O incidente destaca a vulnerabilidade das cadeias de suprimentos de software e a necessidade de vigilância constante. Após a divulgação responsável do ataque, a dYdX alertou os usuários para isolarem máquinas afetadas e moverem fundos para novas carteiras. Este não é o primeiro ataque à dYdX, que já enfrentou incidentes semelhantes no passado, evidenciando um padrão persistente de ameaças direcionadas a ativos relacionados à plataforma.

Um novo pacote malicioso, identificado como sympy-dev, foi descoberto no Python Package Index (PyPI) e se disfarça como uma versão de desenvolvimento da popular biblioteca de matemática simbólica, SymPy. Desde sua publicação em 17 de janeiro de 2026, o pacote já foi baixado mais de 1.100 vezes, sugerindo que alguns desenvolvedores podem ter sido enganados. O pacote modificado atua como um downloader para um minerador de criptomoedas XMRig, ativando seu comportamento malicioso apenas quando certas funções polinomiais são chamadas, o que ajuda a evitar a detecção. O pesquisador de segurança Kirill Boychenko explicou que, ao serem invocadas, essas funções alteradas recuperam uma configuração JSON remota e baixam um payload ELF controlado por um ator de ameaça. Este método visa minimizar os artefatos deixados em disco, utilizando técnicas como memfd_create e /proc/self/fd. O objetivo final é minerar criptomoedas em sistemas Linux, utilizando configurações que priorizam mineração por CPU e desativam backends de GPU. A presença contínua do pacote no PyPI representa um risco significativo para desenvolvedores que podem não estar cientes da ameaça.

Pesquisadores de cibersegurança identificaram vulnerabilidades em pacotes Python legados que podem facilitar um ataque à cadeia de suprimentos no Python Package Index (PyPI). A empresa ReversingLabs revelou que o problema reside em scripts de bootstrap do zc.buildout, que ainda tentam instalar o pacote Distribute a partir de um domínio obsoleto, python-distribute[.]org, que está à venda desde 2014. Essa situação é preocupante, pois um invasor poderia assumir o domínio e injetar código malicioso, colocando em risco dados sensíveis dos usuários. Embora alguns pacotes já tenham removido o script vulnerável, o slapos.core ainda o inclui, aumentando a superfície de ataque. Além disso, um pacote malicioso chamado ‘spellcheckers’ foi descoberto no PyPI, projetado para baixar um trojan de acesso remoto (RAT) após a instalação. O artigo destaca a necessidade urgente de os desenvolvedores revisarem seus códigos e removerem dependências obsoletas para evitar possíveis compromissos de segurança.

Pesquisas da Socket revelaram um aumento no uso de webhooks do Discord como canais de comando e controle (C2) em pacotes maliciosos distribuídos por npm, PyPI e RubyGems. Essa técnica permite que atacantes exfiltratem dados sensíveis para servidores do Discord controlados por eles, sem a necessidade de infraestrutura dedicada, o que torna a detecção e prevenção mais difíceis. Os webhooks do Discord são endpoints HTTPS que aceitam cargas JSON para postar mensagens em canais específicos, permitindo que qualquer pessoa com a URL do webhook envie dados sem revelar o histórico do canal. Exemplos incluem pacotes como mysql-dumpdiscord, que coleta arquivos de configuração e os envia para um webhook, e malinssx, que envia mensagens codificadas durante a instalação. O uso de webhooks reduz os custos e aumenta a furtividade das operações dos atacantes, levando a Socket a recomendar controles rigorosos de saída e análise comportamental para proteger a cadeia de suprimentos de software.

Pesquisadores de cibersegurança identificaram um pacote malicioso no repositório Python Package Index (PyPI) chamado ‘soopsocks’, que prometia criar um serviço de proxy SOCKS5, mas na verdade funcionava como um backdoor para instalar cargas adicionais em sistemas Windows. O pacote, que foi baixado 2.653 vezes antes de ser removido, foi carregado por um usuário que criou a conta no mesmo dia. A análise da JFrog revelou que o pacote utilizava um executável (’_AUTORUN.EXE’) que, além de implementar o SOCKS5, executava scripts PowerShell, configurava regras de firewall e se relançava com permissões elevadas. O pacote também realizava reconhecimento do sistema e exfiltrava informações para um webhook do Discord. O script Visual Basic (’_AUTORUN.VBS’) presente nas versões 0.2.5 e 0.2.6 do pacote também era capaz de baixar um arquivo ZIP com um binário Python legítimo, instalando-o de forma automatizada. A situação ocorre em um contexto de crescente preocupação com a segurança da cadeia de suprimentos de software, levando a mudanças nas políticas de tokens de acesso no GitHub e ao lançamento de ferramentas como o Socket Firewall, que visa bloquear pacotes maliciosos durante a instalação.

Recentemente, a equipe de pesquisa de segurança da Frog revelou um pacote no PyPI chamado SoopSocks, que se disfarçava como um instalador simples de proxy SOCKS5, mas incorporava funcionalidades de backdoor em sistemas Windows. O pacote, que prometia criar serviços SOCKS5 e relatar dados via webhooks do Discord, foi retirado do PyPI em 29 de setembro após a divulgação de seu comportamento suspeito. As versões iniciais implementavam um servidor SOCKS5 básico, mas atualizações posteriores introduziram um executável compilado em Go, chamado autorun.exe, que se instalava como um serviço do Windows. O instalador executa rotinas silenciosas, eleva privilégios e garante persistência no sistema. O SoopSocks escuta na porta 1080 sem autenticação, permitindo o encaminhamento de tráfego TCP e UDP, enquanto coleta dados de rede e os envia a um webhook do Discord a cada 30 segundos. Os indicadores de comprometimento incluem o binário autorun.exe, o serviço SoopSocksSvc e regras de firewall para a porta 1080. A ameaça representa um alto risco para redes corporativas, exigindo ações imediatas de remediação, como isolamento de hosts infectados e bloqueio de conexões ao webhook do Discord.

A Python Software Foundation alertou sobre uma nova onda de ataques de phishing direcionados a desenvolvedores que utilizam a linguagem Python, especificamente através do Python Package Index (PyPI). Os golpistas estão enviando e-mails fraudulentos solicitando que os usuários verifiquem suas contas sob a ameaça de suspensão, levando-os a um site falso, pypi-mirror.org, que imita a página oficial do PyPI. Ao clicar no link, as vítimas podem ter suas credenciais de acesso roubadas. O PyPI é uma plataforma amplamente utilizada, hospedando mais de 681.400 projetos e 15 milhões de arquivos, tornando-se um alvo atrativo para ataques cibernéticos. O risco é significativo, pois os hackers podem não apenas roubar projetos, mas também injetar malwares em pacotes existentes ou publicar novos projetos maliciosos, afetando usuários e comprometendo dados sensíveis, como credenciais e informações financeiras. A fundação recomenda que os desenvolvedores alterem suas senhas imediatamente e revisem suas contas em busca de atividades suspeitas. Este ataque é parte de uma campanha mais ampla que já afetou a cadeia de suprimentos de software, com incidentes semelhantes ocorrendo no ecossistema npm.

Pesquisadores de cibersegurança identificaram dois novos pacotes maliciosos no repositório Python Package Index (PyPI) que têm como objetivo instalar um trojan de acesso remoto chamado SilentSync em sistemas Windows. Os pacotes, nomeados ‘sisaws’ e ‘secmeasure’, foram removidos do PyPI após a descoberta. O pacote ‘sisaws’ imita um pacote legítimo relacionado ao sistema de saúde argentino, mas contém uma função que baixa malware adicional. Já o ‘secmeasure’ se apresenta como uma biblioteca de segurança, mas também entrega o SilentSync. Este malware é capaz de executar comandos remotamente, exfiltrar dados de navegadores e capturar telas. Além disso, ele pode modificar registros no Windows e arquivos de crontab no Linux, além de registrar LaunchAgents no macOS. A descoberta desses pacotes ressalta o aumento do risco de ataques à cadeia de suprimentos em repositórios de software públicos, onde atacantes podem obter informações pessoais ao se disfarçarem de pacotes legítimos.

O Python Package Index (PyPI) está adotando medidas para prevenir ataques de ‘ressurreição de domínios’, uma técnica utilizada por cibercriminosos para explorar a confiança dos usuários em pacotes legítimos. Esses ataques ocorrem quando um criminoso registra um domínio que anteriormente pertencia a um mantenedor de pacote legítimo, mas que expirou. Com o domínio ressuscitado, o atacante pode receber e-mails de redefinição de senha e enviar atualizações maliciosas para os usuários que confiam no pacote. Para mitigar esse risco, o PyPI começou a verificar domínios expirados, dificultando o acesso não autorizado às contas dos mantenedores. Desde junho de 2025, quase 2.000 endereços de e-mail foram desverificados. Embora essa ação não elimine todos os problemas de segurança do PyPI, ela representa um avanço significativo. Além disso, o PyPI recomenda que os usuários ativem a autenticação de dois fatores (2FA) e adicionem um segundo e-mail verificado para aumentar a segurança de suas contas.

Os mantenedores do repositório Python Package Index (PyPI) anunciaram uma nova funcionalidade que verifica domínios expirados para prevenir ataques à cadeia de suprimentos. Essa atualização visa combater ataques de ressurreição de domínios, onde atacantes compram domínios expirados para assumir o controle de contas do PyPI através de redefinições de senha. Desde junho de 2025, mais de 1.800 endereços de e-mail foram desmarcados como verificados assim que seus domínios entraram em fase de expiração. Embora essa medida não seja infalível, ela fecha uma importante brecha de ataque que poderia parecer legítima e difícil de detectar. Os usuários do PyPI são aconselhados a habilitar a autenticação de dois fatores (2FA) e a adicionar um segundo endereço de e-mail verificado de um domínio confiável, como Gmail ou Outlook, para aumentar a segurança. A nova funcionalidade utiliza a API de Status da Fastly para verificar o status dos domínios a cada 30 dias, marcando os endereços de e-mail como não verificados em caso de expiração.

Pesquisadores de cibersegurança descobriram um pacote malicioso no repositório Python Package Index (PyPI) chamado termncolor, que utiliza uma dependência chamada colorinal para executar um ataque em múltiplas etapas. O termncolor foi baixado 355 vezes, enquanto colorinal teve 529 downloads antes de serem removidos do PyPI. O ataque permite a execução remota de código e a persistência do malware por meio de um registro no Windows. O malware também pode infectar sistemas Linux, utilizando um arquivo compartilhado chamado terminate.so. A análise da atividade do autor do malware revelou que ele está ativo desde 10 de julho de 2025, e a comunicação com o servidor de comando e controle (C2) é realizada através do Zulip, um aplicativo de chat de código aberto. Além disso, um relatório da SlowMist alerta que desenvolvedores estão sendo alvo de ataques disfarçados de avaliações de emprego, levando à clonagem de repositórios do GitHub com pacotes npm maliciosos. Esses pacotes têm a capacidade de roubar dados sensíveis, como credenciais e informações de carteiras de criptomoedas. A situação destaca a necessidade de monitoramento constante dos ecossistemas de código aberto para evitar ataques à cadeia de suprimentos.