Pacote malicioso no npm entrega próprio criador

Um pacote malicioso chamado “mouse5212-super-formatter” foi descoberto no repositório npm, atuando como um ladrão de informações projetado para roubar arquivos de desenvolvedores que o instalassem. O caso se tornou incomum não apenas pelo que o malware fazia, mas pelo que revelou acidentalmente sobre seu criador. O pacote atingiu 676 downloads antes de sua natureza maliciosa ser descoberta e ainda estava ativo no npm no momento da publicação.

Erro crítico expõe operação

O erro mais grave foi um token privado do GitHub deixado codificado dentro do próprio malware. Este token pertencia ao ator da ameaça, não à vítima, e deu aos pesquisadores a capacidade de rastrear as exfiltrações de arquivos em tempo real.

Pesquisadores da OX Security identificaram o pacote e publicaram uma análise detalhada. A empresa observou em um relatório cerca de sete eventos ativos de exfiltração no repositório GitHub do atacante antes que ele fosse derrubado, a maioria dos quais parecia ser testes executados pelo invasor durante o desenvolvimento.

Funcionamento do infostealer

O malware se disfarçava como uma ferramenta interna legítima de “sincronização de implantação de arquivos”. Após a instalação, ele percorria recursivamente o diretório local “/mnt/user-data” e enviava cada arquivo encontrado usando a API GitHub Contents.

Para evitar detecção, ele armazenava os arquivos roubados sob um nome de pasta gerado aleatoriamente para cada sessão. O malware também gravava um log falso de “conexões de rede” durante a execução, projetado para fazer a atividade parecer uma verificação de diagnóstico de rotina.

IA reduzindo a barreira técnica

Comentários e mensagens de commit dentro do código foram escritos em linguagem técnica genérica para reduzir suspeitas. A OX Security observou que o ator da ameaça não era um profissional experiente, mas alguém usando ferramentas de IA para gerar código de ataque sem entender completamente o que estava construindo.

A conta GitHub do atacante foi criada poucas horas antes do primeiro upload malicioso e foi deletada após a descoberta.