Coreia do Norte por Trás de Ataques à Cadeia de Suprimentos de Código Aberto, Alerta Amazon

A equipe de inteligência de ameaças da Amazon acaba de revelar uma conexão crucial: o grupo norte-coreano SAPPHIRE SLEET é o cérebro por trás de quatro campanhas distintas de ataques à cadeia de suprimentos de código aberto. Antes, esses incidentes eram vistos como isolados. Agora, a Amazon os uniu, mostrando um padrão operacional que atingiu pacotes npm amplamente usados como axios, debug, chalk e typo-crypto. A campanha de 2026 contra o Axios, por exemplo, já havia sido noticiada pelo CEVIU em 1º de abril de 2026, mas sem a ligação formal com os demais ataques.

A sofisticação das táticas é preocupante. Os invasores fragmentam códigos maliciosos em módulos aparentemente inofensivos, dificultando a detecção por scanners. Além disso, usam técnicas evasivas como a detonação sandbox-aware, onde o malware verifica se está em um ambiente de análise antes de se ativar. O CEVIU News já apontou táticas semelhantes em artigos anteriores, como a notícia de 30 de abril de 2026 sobre o comprometimento de SAP via npm com roubo de credenciais usando 'preinstall hooks', e a matéria de 29 de julho de 2026 que descreveu a fragmentação de loaders para evadir detecção em um ataque a desenvolvedores Alibaba.

A grande virada é a unificação de informações. Enquanto o comprometimento de pacotes como o axios já era de conhecimento público e atribuído a atores norte-coreanos, a Amazon é a primeira a ligar formalmente quatro campanhas distintas (incluindo as de debug, chalk e typo-crypto) ao mesmo grupo, o SAPPHIRE SLEET. Essa atribuição consolidada e a análise aprofundada dos TTPs (Táticas, Técnicas e Procedimentos) do grupo oferecem uma visão mais completa da ameaça. O que era um rumor ou um ataque isolado, agora é parte de uma estratégia coordenada e financeiramente motivada, com táticas evoluídas de evasão e fragmentação que se tornaram mais claras.

Estes ataques demonstram a crescente eficiência de focar em dependências compartilhadas. Compromissos de pacotes populares impactam milhares de ambientes downstream de uma só vez, tornando esta abordagem mais lucrativa para os cibercriminosos. A Amazon destaca um ponto crítico: a IA generativa. Ela não só pode auxiliar na criação de malwares mais complexos e indistinguíveis de código legítimo, mas também abrir novas portas de ataque, como o 'slopsquatting', onde pacotes inexistentes 'alucinados' por IAs de codificação são registrados por atacantes para distribuir malware.

A resposta a essa ameaça exige uma defesa ecossistêmica colaborativa. A notícia da Amazon e seu investimento de US$ 12,5 milhões no Akrites, em parceria com a Linux Foundation, para segurança de software de código aberto, reforça a necessidade urgente de ferramentas e colaboração da comunidade. É um lembrete contundente de que a segurança de um depende da segurança de todos, especialmente em um mundo onde o código aberto é a base de quase tudo.