Sapphire Sleet ataca a cadeia de fornecimento de npm: rouba credenciais e cripto através de dependências comprometidas

A Microsoft atribuiu com confiança elevada à operação o recente compromisso da cadeia de fornecimento de Mastra em npm à ameaça norte-coreana conhecida como Sapphire Sleet (BlueNoroff), depois de um ator malicioso tomar controle de uma conta de manutenção e publicar atualizações que introduziram uma dependência maliciosa. O vetor explorado combina técnicas clássicas de typosquatting — a dependência fraudulenta "easy-day-js" imitava a popular livraria dayjs — com o abuso do hook de instalação para executar um dropper que buscava credenciais e chaves de criptomoedas em ambientes de desenvolvimento.

O mecanismo técnico é especialmente prejudicial para ambientes de desenvolvedores: a instalação de pacotes comprometidos desencadeou um postinstall hook que colocou um dropper ofuscado, desactivou a verificação TLS, contactou servidores de comando e controle e descargou um segundo estádio multiplataforma. Esse segundo binário atua como um stealer capaz de abranger Windows, macOS e Linux, enumerar processos e extensões de navegador e verificar a presença de até 166 extensões de wallets(MetaMask, Phantom, Coinbase Wallet, entre outras), além de estabelecer persistência por chaves de registro, LaunchAgents ou serviços systemd de acordo com o sistema.

O perfil de atividade e a reutilização de táticas, técnicas e procedimentos — incluindo um backdoor em PowerShell e a criação de exclusões na Microsoft Defender — são consistentes com campanhas prévias atribuídas a Sapphire Sleet, e encaixam com a motivação conhecida do grupo: o roubo de ativos cripto e credenciais. Este incidente não é isolado: a Microsoft já havia apontado outros compromissos no ecossistema npm durante 2026, o que mostra uma tendência de atores estatais explorando a confiança em mantenedores e pacotes de código aberto.

As implicações são múltiplas. No técnico, comprometer uma conta de manutenção ou um scope amplo como @mastra permite distribuir código malicioso a muitos projetos de forma praticamente automática, convertendo os desenvolvedores em vetores para a exfiltração de segredos e tokens. Em termos de organização, erosiona a confiança na cadeia de fornecimento de software: organizações que incorporam dependências sem controlos adicionais correm o risco de introduzir portas traseiras, perda de fundos e exposição de credenciais empresariais.

As medidas imediatas que devem tomar equipamentos e desenvolvedores incluem revogar tokens e credenciais que possam ter sido expostas, auditar máquinas de desenvolvimento e CI por persistências e indicadores de compromisso, e reconstruir desde artefatos limpos se houver suspeita de infecção. É crítico também eliminar ou congelar versões comprometidas nos registros e comunicar à comunidade afetada para evitar mais instalações.

Paralelamente, convém aplicar controlos que reduzam a probabilidade e o impacto de futuros incidentes: activar autenticação multifator e políticas de acesso mínimo em contas de publicação, limitar e rotar tokens de publicação com privilégios acotados, e implantar verificação de integridade de pacotes (lockfiles e checksums) em pipelines de CI. Desactivar hooks de pós-install em ambientes automatizados ou executá-los em sandboxes controlados reduz a superfície explorável por packages maliciosos.

Ferramentas de análise de composição de software (SCA), signado de pacotes, registros privados com controle de acesso e geração de SBOMs ajudam a detectar e conter dependência comprometidas antes de chegarem à produção. Além disso, os testes de simulação de ataques e a monitorização do tráfego cessante podem identificar comunicações com infra-estruturas C2 e padrões de exfiltração precoce. Para orientação prática de segurança na cadeia de abastecimento, as organizações podem rever as recomendações oficiais de agências especializadas como a CISA: https://www.cisa.gov/supply-chain.

Os mantenedores e administradores de pacotes também têm responsabilidade: usar senhas robustas e 2FA, revisar a atividade de contas com permissões de publicação e auditar as mudanças de dependências antes de aceitar atualizações é fundamental. O npm publica guias e boas práticas que qualquer equipe que dependa do ecossistema Javascript deveria seguir: https://docs.npmjs.com/.

Este episódio reitera que a segurança do software moderno depende tanto da higiene individual (credenciais, MFA, ambientes isolados) como de controles organizacionais (políticas de dependência, CI seguro, monitoramento e resposta). Adoptar uma defesa em profundidade e preparar procedimentos de resposta que incluam rotação de segredos e reconstrução de ativos compromete redunda na capacidade de conter campanhas sofisticadas como as atribuídas a Sapphire Sleet.