Ataque sofisticado no npm: Pacote malicioso 'indexed-btree' burla defesas de segurança

A detecção do pacote malicioso 'indexed-btree' no npm, disfarçado como 'sorted-btree', reforça a escalada dos ataques na cadeia de suprimentos de software. A grande sacada deste ataque é como ele contorna as defesas do npm v12: em vez de usar scripts de instalação que agora são mais monitorados, o código malicioso se esconde no método BTree.prototype.set(), executando apenas em tempo de execução. Isso torna a detecção muito mais difícil para ferramentas de análise estática e de taint analysis, que focam nos scripts de pré-instalação e pós-instalação.

Uma vez ativado, o malware coleta detalhes do sistema, como arquitetura, hostname, CPU e memória, exfiltrando estas informações via Slack e Telegram. Mais sofisticado ainda é o uso de um smart contract Ethereum na rede de testes Sepolia para comando e controle (C2), de onde busca o payload de segunda fase. Essa tática de utilizar blockchain para C2 é um avanço na complexidade observada em campanhas anteriores, como o ataque da Socket que em julho de 2026 comprometeu desenvolvedores do Alibaba, ou os ataques de typosquatting como 'react-refresh-update' (março de 2026), que também injetou um dropper ofuscado no runtime.js.

A principal mudança é a evolução tática dos invasores para contornar as novas defesas do npm. Em junho de 2026, o GitHub anunciou medidas de segurança para o npm v12, como o bloqueio de scripts de ciclo de vida (preinstall, install, postinstall) a menos que explicitamente aprovados. O pacote 'indexed-btree' burla essa proteção ao evitar completamente os scripts de instalação. Ele esconde sua lógica maliciosa em métodos que são ativados durante a execução normal do programa, diferentemente de ataques anteriores como o 'ambar-src' em fevereiro de 2026, que abusava do hook de script preinstall do npm. Esta nova abordagem transforma o que era uma proteção em um novo vetor de ataque.

Para empresas e desenvolvedores, este incidente é um alerta crítico sobre a necessidade de ir além da análise estática. Confiar apenas em verificações durante a instalação não é mais suficiente. A exfiltração de dados sensíveis e o controle remoto via blockchain exigem uma reavaliação das estratégias de cibersegurança. É fundamental incorporar análise comportamental em tempo de execução para identificar atividades anômalas, mesmo que o código pareça limpo na instalação. O alto número de downloads e o esforço para parecer legítimo mostram que esses ataques são projetados para causar o maior estrago possível, comprometendo ambientes de desenvolvimento inteiros e exigindo a rotação de segredos.