Campanha autorreplicante inunda npm com milhares de pacotes maliciosos

Investigadores de segurança alertaram para uma nova e massiva campanha que resultou na publicação de dezenas de milhares de pacotes npm maliciosos, contendo um worm que se autorreplica.

Ao contrário de ataques recentes focados no roubo de credenciais, o código desta campanha abusa do ecossistema npm para spam e poluição de recursos.

A empresa SourceCodeRed, que nomeou o malware de “worm IndonesianFoods”, identificou mais de 43.900 pacotes npm maliciosos associados a 11 contas. Todos os pacotes seguiam um esquema de nomenclatura aleatória, envolvendo nomes e alimentos indonésios.

O malware foi criado para ciclo de spam infinito: criar novos nomes para os pacotes, modificar o ficheiro package.json para tornar os pacotes públicos e adicionar números de versão aleatórios, publicar os pacotes no registo npm em loop infinito, publicando um novo pacote a cada sete segundos.

A SourceCodeRed observa que o malware se disfarça de aplicação Next.js legítima para evitar a deteção, e o seu objetivo é “inundar o registo do npm com pacotes inúteis, desperdiçar recursos de infraestrutura, poluir os resultados de pesquisa e criar riscos na cadeia de abastecimento no caso de os programadores instalarem estes pacotes maliciosos acidentalmente”.

A atividade foi também observada pela JFrog, que a denominou “Big Red”. A JFrog identificou um número ainda maior: mais de 80 mil pacotes autorreplicantes nomeados, com um esquema semelhante de geração de nomes aleatórios, que incluía adjetivos, cores e nomes de animais, além dos nomes e alimentos.

De acordo com a JFrog, o malware reutiliza as credenciais do npm armazenadas do utilizador vítima para publicar os pacotes recém-gerados a um ritmo acelerado.

“O resultado é um ciclo fechado e totalmente automatizado que pode inundar o ecossistema do npm com um grande número de pacotes aparentemente legítimos, todos derivados do mesmo modelo de código e diferenciados apenas por metadados aleatórios”, revelou a JFrog.

Os 80 mil pacotes maliciosos foram publicados em 18 contas de utilizadores e continham apenas a lógica de publicação autorreplicante.

Embora o objetivo imediato seja o spam, a JFrog levanta a hipótese de que a campanha possa ser “um ensaio para uma futura campanha”. A mesma infraestrutura e esquema de nomenclatura poderiam ser reutilizados para distribuir payloads maliciosos reais, utilizando a mesma infraestrutura autorreplicante em grande escala.