27 ago Criminosos usam espelhos do npm para hospedar páginas falsas e aplicar golpes
Invasores passaram a publicar arquivos no repositório npm com um objetivo de transformar plataformas públicas de distribuição em servidores gratuitos para páginas de golpes virtuais. A tática dispensa a contaminação direta de computadores e foca no uso indevido da infraestrutura técnica para hospedar fraudes na internet.
O caso veio à tona em 3 de julho, quando o pesquisador de segurança osj (@inf0stache) descobriu um pacote suspeito chamado “china_airlines”, caso documentado pela consultoria IntelFusions dias depois. Um relatório da empresa de cibersegurança OX Security revelou, nesta terça-feira (25), que outros 24 pacotes no npm compartilhavam a mesma estrutura de redirecionamento enganoso.
A estrutura desses pacotes conta apenas com dois arquivos: um documento de configuração e uma página HTML. O perigo real surge quando serviços de espelhamento, como o UNPKG e o npmmirror, copiam o material automaticamente e permitem que o arquivo HTML seja aberto de forma direta no navegador.
Com esse mecanismo, a página do golpe carrega com o endereço dessas plataformas confiáveis na barra de navegação. Diante de um domínio legítimo de tecnologia, softwares de proteção e antivírus têm mais dificuldade para identificar e bloquear a ameaça.
Funcionamento do esquema
Em relatório, a equipe da OX Security explicou o funcionamento da estratégia: “Embora o malware seja apenas uma única página HTML dentro do pacote npm, e embora baixá-lo não traga danos, o uso do npm pelo agente de ameaça não é para infectar desenvolvedores que o instalam, mas para usar o registro e seus espelhos como um armazenamento seguro e validado para o malware”, descreveu.
Ao abrir o endereço hospedado no espelho, a vítima vê uma tela quase idêntica à verificação de segurança da Cloudflare, com direito à caixa de teste para provar que o usuário é humano. Logo após a validação, a página executa uma ordem oculta que transfere o internauta para uma página externa sob controle dos fraudadores.
Segundo testes conduzidos pelo portal BleepingComputer e análises da OX Security, as primeiras versões do golpe enviavam o público para endereços falsificados com o objetivo de capturar senhas de contas corporativas. Em seguida, os responsáveis passaram a utilizar um serviço auxiliar na internet que guarda o link final de redirecionamento. Com esse recurso, eles conseguem alterar o destino do golpe à distância a qualquer momento, sem precisar republicar arquivos no npm.
Analistas da OX Security destacaram, no documento, o avanço desse tipo de manipulação digital: “Os agentes de ameaça continuam a encontrar técnicas novas não apenas para entregar malware, mas para usar infraestrutura legítima para armazenar suas cargas úteis e dados”.
Os pesquisadores da OX Security e da IntelFusions alertam que os arquivos costumam permanecer acessíveis nos servidores espelho mesmo após o pacote original sair do catálogo oficial do npm. A orientação para profissionais de segurança é monitorar com atenção o acesso direto a páginas HTML hospedadas em domínios de espelhamento.
Por falar em segurança no universo digital, conheça o golpe do falso alívio financeiro, que mira mais de nove mil empresas. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.