Novo Worm IronWorm Ataca 36 Pacotes no npm em Ataque à Cadeia de Suprimentos
Um novo infostealer, o IronWorm, foi descoberto infectando 36 pacotes no ecossistema npm. Escrito em Rust e operando via Tor, ele visa roubar credenciais de desenvolvedores e segredos de serviços em nuvem, com capacidade de auto-propagação.
MundiX News·11 de junho de 2026·4 min de leitura·👁 8 views
A ecossistema npm foi alvo de um novo ataque à cadeia de suprimentos. Especialistas da JFrog descobriram o infostealer IronWorm, que conseguiu infectar 36 pacotes e tinha como objetivo roubar segredos de desenvolvedores, credenciais de serviços em nuvem e chaves de acesso.
De acordo com analistas, o IronWorm é escrito em Rust, interage com seus operadores através do Tor e mascara suas atividades usando um rootkit eBPF. O malware visa roubar 86 variáveis de ambiente (pares chave-valor), bem como credenciais de serviços como OpenAI, AWS, Anthropic e npm, chaves SSH, configurações de repositórios e arquivos de carteiras de criptomoedas Exodus.
A principal característica do malware é sua capacidade de auto-propagação. Ao obter acesso à máquina de um desenvolvedor ou a um ambiente CI/CD, o malware utiliza as credenciais roubadas para publicar novos pacotes infectados no npm. Entre os dados roubados, encontram-se segredos utilizados pelo mecanismo de Trusted Publishing. Como resultado, a infecção pode se espalhar rapidamente pela cadeia de suprimentos, afetando dispositivos de outros desenvolvedores e sistemas de CI.
Pesquisadores observam que, em seu comportamento, o IronWorm lembra o worm Shai-Hulud, cujo código-fonte foi recentemente publicado em acesso aberto pelo grupo TeamPCP. Nenhuma ligação direta entre esses malwares foi detectada, no entanto, em ambos os casos, foram utilizados os mesmos nomes de commits. Na opinião de especialistas, o novo worm pode ser um desenvolvimento das ferramentas do TeamPCP.
Como a investigação mostrou, a onda de ataques do IronWorm começou com a comprometimento da conta asteroiddao. Em nome dessa conta, foram publicadas versões de pacotes com um binário Rust malicioso, que era executado na etapa de preinstall e adicionava automaticamente commits maliciosos aos repositórios das vítimas. O autor dos commits era listado como 'claude', e os carimbos de data/hora em alguns casos foram artificialmente retrocedidos em anos (provavelmente para dificultar a análise do incidente).
Os pesquisadores também destacam separadamente o mecanismo de exfiltração de dados via GitHub Actions, descoberto no código do malware. Assim, o malware é capaz de coletar os segredos roubados em um único arquivo, mascará-lo como um arquivo de serviço criado por ferramentas de verificação de código e, em seguida, carregá-lo como um build artifact. No entanto, na campanha descoberta, essa funcionalidade não foi utilizada.
Além disso, especialistas notaram que os autores do IronWorm codificaram rigidamente no código do worm uma lista de exceções para o roubo de dados, e nela continha a única entrada com a seed phrase da própria carteira de criptomoedas dos criminosos. Supõe-se que isso foi feito para que o malware não roubasse acidentalmente os dados dos próprios hackers durante os testes.
De acordo com informações de especialistas da Ox Security, o ataque foi detectado em estágio inicial e interrompido antes que a infecção atingisse projetos populares do npm.
A ecossistema npm foi alvo de um novo ataque à cadeia de suprimentos. Especialistas da JFrog descobriram o infostealer IronWorm, que conseguiu infectar 36 pacotes e tinha como objetivo roubar segredos de desenvolvedores, credenciais de serviços em nuvem e chaves de acesso.
De acordo com analistas, o IronWorm é escrito em Rust, interage com seus operadores através do Tor e mascara suas atividades usando um rootkit eBPF. O malware visa roubar 86 variáveis de ambiente (pares chave-valor), bem como credenciais de serviços como OpenAI, AWS, Anthropic e npm, chaves SSH, configurações de repositórios e arquivos de carteiras de criptomoedas Exodus.
A principal característica do malware é sua capacidade de auto-propagação. Ao obter acesso à máquina de um desenvolvedor ou a um ambiente CI/CD, o malware utiliza as credenciais roubadas para publicar novos pacotes infectados no npm. Entre os dados roubados, encontram-se segredos utilizados pelo mecanismo de Trusted Publishing. Como resultado, a infecção pode se espalhar rapidamente pela cadeia de suprimentos, afetando dispositivos de outros desenvolvedores e sistemas de CI.
Pesquisadores observam que, em seu comportamento, o IronWorm lembra o worm Shai-Hulud, cujo código-fonte foi recentemente publicado em acesso aberto pelo grupo TeamPCP. Nenhuma ligação direta entre esses malwares foi detectada, no entanto, em ambos os casos, foram utilizados os mesmos nomes de commits. Na opinião de especialistas, o novo worm pode ser um desenvolvimento das ferramentas do TeamPCP.
Como a investigação mostrou, a onda de ataques do IronWorm começou com a comprometimento da conta asteroiddao. Em nome dessa conta, foram publicadas versões de pacotes com um binário Rust malicioso, que era executado na etapa de preinstall e adicionava automaticamente commits maliciosos aos repositórios das vítimas. O autor dos commits era listado como 'claude', e os carimbos de data/hora em alguns casos foram artificialmente retrocedidos em anos (provavelmente para dificultar a análise do incidente).
Os pesquisadores também destacam separadamente o mecanismo de exfiltração de dados via GitHub Actions, descoberto no código do malware. Assim, o malware é capaz de coletar os segredos roubados em um único arquivo, mascará-lo como um arquivo de serviço criado por ferramentas de verificação de código e, em seguida, carregá-lo como um build artifact. No entanto, na campanha descoberta, essa funcionalidade não foi utilizada.
Além disso, especialistas notaram que os autores do IronWorm codificaram rigidamente no código do worm uma lista de exceções para o roubo de dados, e nela continha a única entrada com a seed phrase da própria carteira de criptomoedas dos criminosos. Supõe-se que isso foi feito para que o malware não roubasse acidentalmente os dados dos próprios hackers durante os testes.
De acordo com informações de especialistas da Ox Security, o ataque foi detectado em estágio inicial e interrompido antes que a infecção atingisse projetos populares do npm.
