Pacote npm Malicioso `react-refresh-update` Infecta Máquinas de Desenvolvedores com Trojan Multiplataforma

O pacote [email protected] não é apenas mais um typosquat: é uma peça-chave de uma escalada tática do Lazarus Group no ecossistema npm, projetada para contornar defesas modernas de cadeia de suprimentos. Enquanto o pacote legítimo react-refresh está na versão 0.18.0 há anos, a versão maliciosa usa 2.0.5, um número inflado que passa por atualização válida em ferramentas de dependência automatizadas, como renovate ou Dependabot, especialmente em pipelines que priorizam 'versões maiores' sem revisão humana. O dropper é injetado diretamente no runtime.js, logo após a primeira linha, evitando install hooks e executando-se durante o require(), o que significa que qualquer projeto que importe o pacote (mesmo que só para desenvolvimento) já está comprometido antes mesmo do build.

O PylangGhost RAT, agora pela primeira vez observado no npm, é um salto operacional: ele não é só multiplataforma, mas também adaptativo ao ambiente de execução. No Windows, usa wscript.exe desanexado com start.vbs para evitar detecção por EDRs que monitoram processos-filho; no Linux/macOS, baixa scripts via axios com TLS desabilitado, um sinal claro de que o atacante assume que o alvo roda em ambientes de desenvolvimento com certificados autoassinados ou proxies corporativos que já desabilitam validação. A comunicação C2 usa RC4 sobre HTTP (não HTTPS), mas com payloads criptografados em memória, o que burla scanners baseados em assinatura estática de child_process ou execSync.

Esse ataque não visa apenas máquinas individuais: ele explora uma falha estrutural na segurança de desenvolvedores, a confiança cega em números de versão e nomes de pacotes, amplificada por ferramentas de IA que sugerem dependências sem contexto de proveniência. Em 2026, o npm virou campo de batalha para campanhas coordenadas: desde o ataque ao Axios até os 373 pacotes trojanizados pela TeamPCP em seis minutos, a janela entre publicação e execução caiu para minutos. O react-refresh-update é o primeiro caso documentado em que o Lazarus Group entrega PylangGhost via npm, e não por email ou GitHub, indicando que a cadeia de suprimentos de IA está sendo usada como vetor principal, não secundário. Empresas que usam CI/CD com npm ci --no-audit ou que ignoram SLSA provenance estão expostas mesmo com políticas aparentemente rígidas.