Typosquatting

Pesquisadores de cibersegurança descobriram um novo pacote NuGet malicioso que utiliza typosquatting para se passar pela popular biblioteca de rastreamento .NET, introduzindo um ladrão de carteiras de criptomoedas. Nomeado ‘Tracer.Fody.NLog’, o pacote foi publicado em 26 de fevereiro de 2020 e permaneceu no repositório por quase seis anos, sendo baixado mais de 2.000 vezes. O pacote se disfarça como ‘Tracer.Fody’, que é mantido por um autor legítimo, mas contém um código que escaneia diretórios de carteiras Stratis no Windows, extrai dados de carteiras e senhas, enviando essas informações para um servidor controlado por criminosos na Rússia. O ataque utiliza táticas sofisticadas para evitar detecções, como a imitação do nome do mantenedor legítimo e a ocultação de funções maliciosas em códigos comuns. O mesmo endereço IP já havia sido utilizado em um ataque anterior, demonstrando um padrão de comportamento de ameaças que pode se repetir em outras bibliotecas populares. A descoberta ressalta a importância da segurança na cadeia de suprimentos de software, especialmente em ambientes de código aberto.

Um pacote malicioso chamado “@acitons/artifact” foi descoberto pela Veracode Threat Research, utilizando técnicas de typosquatting para se passar pelo pacote legítimo “@actions/artifact”, que já conta com mais de 206 mil downloads. O ataque visava repositórios pertencentes ao GitHub, com o objetivo de roubar tokens sensíveis do ambiente de construção e potencialmente publicar conteúdo malicioso disfarçado como artefatos legítimos do GitHub.

O pacote malicioso continha seis versões que incluíam um hook pós-instalação projetado para baixar e executar um binário oculto chamado “ci_test_harness” de uma fonte remota. Este binário era tão sutil e ofuscado que conseguiu evitar a detecção por todos os principais motores antivírus no VirusTotal. O script de instalação executava um comando curl que baixava o binário malicioso, alterava suas permissões e o executava dentro do ambiente de CI/CD.

Pesquisadores de cibersegurança descobriram um pacote npm malicioso chamado “@acitons/artifact”, que faz typosquatting do legítimo “@actions/artifact”. O objetivo é comprometer repositórios pertencentes ao GitHub. A análise da Veracode revelou que seis versões do pacote, de 4.0.12 a 4.0.17, continham um script pós-instalação que baixava e executava malware. Embora a versão mais recente disponível no npm seja 4.0.10, o autor do pacote, identificado como blakesdev, removeu as versões comprometidas. O pacote foi carregado em 29 de outubro de 2025 e acumulou 31.398 downloads semanais, totalizando 47.405 downloads. Além disso, foi identificado outro pacote malicioso, “8jfiesaf83”, que também foi removido, mas teve 1.016 downloads. O script pós-instalação do pacote malicioso baixa um binário chamado “harness” de uma conta do GitHub que foi excluída, e executa um arquivo JavaScript que verifica variáveis do GitHub Actions, exfiltrando dados para um arquivo de texto em um subdomínio do GitHub. A Veracode classificou o ataque como direcionado, focando em repositórios do GitHub e uma conta de usuário sem atividade pública, possivelmente para testes.

Pesquisadores de cibersegurança identificaram pacotes maliciosos nas plataformas npm, Python e Ruby que utilizam o Discord como canal de comando e controle (C2) para transmitir dados roubados. Os webhooks do Discord, que permitem postar mensagens em canais sem autenticação, são explorados por atacantes para exfiltrar informações. Por exemplo, pacotes como mysql-dumpdiscord e sqlcommenter_rails enviam dados sensíveis, como arquivos de configuração e informações do sistema, para webhooks controlados por criminosos. Além disso, uma campanha associada a atores de ameaças da Coreia do Norte resultou na publicação de 338 pacotes maliciosos, que foram baixados mais de 50.000 vezes. Esses pacotes, que muitas vezes são variações de nomes legítimos (typosquatting), visam desenvolvedores de Web3 e criptomoedas, utilizando técnicas de engenharia social para comprometer sistemas. A pesquisa destaca a facilidade com que os atacantes podem operar sem a necessidade de infraestrutura própria, tornando a detecção e mitigação mais desafiadoras.

Uma nova onda de ataques de cadeia de suprimentos, denominada “Contagious Interview”, foi identificada, envolvendo mais de 338 pacotes JavaScript maliciosos no registro npm, atribuídos a hackers norte-coreanos. Esses atacantes utilizam perfis falsos de recrutadores e dependências com nomes semelhantes para enganar desenvolvedores de Web3, blockchain e criptomoedas. A operação já acumulou mais de 50.000 downloads. Os ataques seguem um modelo repetível que se alinha ao modelo Lockheed Martin Cyber Kill Chain, começando com a pesquisa no LinkedIn e culminando na instalação de pacotes infectados. Um exemplo notável é o pacote chamado eslint-detector, que executa cargas úteis de roubo de informações durante a instalação. Os atacantes também utilizam técnicas de typosquatting para camuflar módulos maliciosos, imitando bibliotecas npm populares. Apesar de algumas contas de atacantes terem sido removidas, pelo menos 25 pacotes ainda estão ativos. Especialistas em segurança recomendam que os registros adotem defesas em camadas e que as equipes de desenvolvimento tratem cada instalação do npm como uma execução de código, implementando varreduras de segurança e bloqueando uploads de alto risco.

Um novo golpe de phishing está sendo utilizado por cibercriminosos que se aproveitam da popularidade do Booking.com para enganar usuários. Os atacantes enviam e-mails para pessoas que possuem anúncios na plataforma, informando que houve uma reclamação sobre seu anúncio e que devem agir rapidamente para evitar a suspensão. O link contido no e-mail parece legítimo, mas, ao analisá-lo mais de perto, é possível notar que um caractere hiragana japonês foi utilizado no lugar da barra normal, o que é uma técnica conhecida como ’typosquatting’. Essa prática visa confundir as vítimas, levando-as a clicar em links maliciosos que instalam malware em seus dispositivos. O pesquisador de segurança que relatou o incidente, JAMESWT, observou que o site falso pode servir como um instalador de malware, como infostealers e trojans de acesso remoto (RAT). Para se proteger, os usuários são aconselhados a revisar cuidadosamente mensagens recebidas, especialmente aquelas não solicitadas, e a verificar links e anexos antes de clicar. O ataque destaca a importância de uma vigilância constante em relação a comunicações digitais.