Contagious Interview o truque de SVG com Base64 que rouba credenciais e expõe a cadeia de fornecimento

Um novo capítulo da longa campanha atribuída a atores norte-coreanos – identificado por Elastic Security Labs como parte do operacional conhecido como Contagious Interview e categorizada adicionalmente como REF9403 – revela uma combinação inquietante de engenharia social dirigida a desenvolvedores e técnicas evasivas de malware: steganografia incorporada em arquivos SVG que camufla fragmentos de payload em comentários Base64, montados por código JavaScript legítimo em repositórios trojanizados que são oferecidos como testes técnicos de emprego.

O truque aproveita a confiança da comunidade técnica: ofertas de trabalho e desafios de codificação publicados em canais como o Slack induzem os interessados a clonar e executar projetos que parecem funcionar corretamente em primeira instância. Atrás desse funcionamento aparente é ocultada uma cadeia de quatro etapas similar ao malware conhecido como OtterCookie: roubo de credenciais de navegador e carteiras de criptomoedas, exfiltração de arquivos, um backdoor persistente baseado em Socket.IO e roubo da área de transferência. Além disso, o código procura extensões e artefatos relacionados com ferramentas de IA, sugerindo um claro interesse por dados sensíveis e chaves que facilitam acesso a ambientes e recursos valiosos.

Do ponto de vista técnico, o uso de SVG com comentários que contêm fragmentos Base64 distribuídos entre várias imagens é uma tentativa deliberada de evadir scanners e assinatura estática: os arquivos de assets parecem inocuos (por exemplo AE.svg, AF.svg), mas contêm blocos comentados que o programa de validação do repositório concatena e descodificado em tempo de execução. O payload é programa para executar mesmo no arranque do servidor, o que transforma um simples teste técnico numa porta de entrada persistente com capacidades de comando e controle.

As implicações são claras e amplas: um único desenvolvedor comprometido pode se tornar vetor de um ataque à cadeia de fornecimento, inserindo código malicioso em projetos compartilhados, dependências ou pipelines de CI/CD. Além disso, a combinação de roubo de carteiras e credenciais amplifica o dano econômico imediato e facilita campanhas de exfiltração que são difíceis de remontar se as chaves são reutilizadas ou não se rotam rapidamente.

Em termos de detecção e atribuição, a técnica complica a visibilidade porque os sinais se espalham entre recursos estáticos (imágenes), artefatos aparentemente legítimos e código funcional. Isso reforça a necessidade de complementar assinaturas com análise de comportamento, monitoramento de integridade de arquivos e controle estrito de execuções em ambientes produtivos. Para contexto e taxonomia de técnicas, é útil consultar repositórios de referência como MITRE ATT&CK ( https://attack.mitre.org/) e as análises sectoriais publicadas por grupos de resposta como Elastic Security Labs ( https://www.elastic.co/), que descrevem como essas campanhas evoluem.

Para equipes e desenvolvedores individuais, as medidas práticas começam pelo princípio básico de não executar código externo com privilégios desnecessários: isolar testes em ambientes efêmeros e sem acesso a segredos, desativar execuções automáticas ao clonar repositórios e revisar ativos estáticos em busca de comentários suspeitos ou blocos Base64.

Complementar a higiene individual com políticas organizacionais reduz o risco: forçar a revisão de pull requests, digitalizar repositórios por segredos e artefatos incomuns antes de integrá-los em pipelines, bloquear conexões salientes não autorizadas a partir do runners de CI e aplicar controles de integridade em servidores que arrancam serviços novos. Além disso, adotar o princípio de menor privilégio em extensões do navegador e carteiras, e segregar chaves de acesso e carteiras (por exemplo, usando hardware wallets ou contas com limites), limita o impacto em caso de fuga de informação.

As soluções de detecção devem incluir telemetria de rede orientada para identificar conexões Socket.IO não habituais, regras EDR que detectem descodificação e execução de blobs montados em memória, e alertas sobre processos que tentam ler a área de transferência ou acessar armazéns de chaves do navegador. A rotação imediata de credenciais expostas e a revogação de tokens comprometidos são ações imprescindíveis após um incidente.

Finalmente, este incidente mostra que a segurança do software não é apenas uma questão de dependências públicas ou pacotes npm maliciosos: o vetor humano continua a ser o elo mais frágil. Capacitar as comunidades técnicas para identificar lures de emprego falsos, promover o ceticismo na execução de código recebido por canais sociais e promover práticas de validação de artefatos serão medidas tão necessárias quanto as ferramentas automáticas para mitigar o risco de campanhas sofisticadas como Contagious Interview.