Criminosos usam espelhos do npm para hospedar páginas falsas e aplicar golpes

Invasores passaram a publicar arquivos no repositório npm com um objetivo de transformar plataformas públicas de distribuição em servidores gratuitos para páginas de golpes virtuais.

A tática dispensa a contaminação direta de computadores e foca no uso indevido da infraestrutura técnica para hospedar fraudes na internet.

O caso veio à tona em 3 de julho, quando o pesquisador de segurança osj (@inf0stache) descobriu um pacote suspeito chamado “china_airlines” , caso documentado pela consultoria IntelFusions dias depois.

Um relatório da empresa de cibersegurança OX Security revelou, nesta terça-feira (25), que outros 24 pacotes no npm compartilhavam a mesma estrutura de redirecionamento enganoso.

A estrutura desses pacotes conta apenas com dois arquivos: um documento de configuração e uma página HTML.

O perigo real surge quando serviços de espelhamento, como o UNPKG e o npmmirror, copiam o material automaticamente e permitem que o arquivo HTML seja aberto de forma direta no navegador.

Descoberta documentada pelo pesquisador de segurança osj (@inf0stache) no X (Reprodução/X) Com esse mecanismo, a página do golpe carrega com o endereço dessas plataformas confiáveis na barra de navegação.

Diante de um domínio legítimo de tecnologia, softwares de proteção e antivírus têm mais dificuldade para identificar e bloquear a ameaça.

Funcionamento do esquema Em relatório , a equipe da OX Security explicou o funcionamento da estratégia: “Embora o malware seja apenas uma única página HTML dentro do pacote npm, e embora baixá-lo não traga danos, o uso do npm pelo agente de ameaça não é para infectar desenvolvedores que o instalam, mas para usar o registro e seus espelhos como um armazenamento seguro e validado para o malware”, descreveu.

Print da página falsa de verificação de segurança (Reprodução/OX Security) Ao abrir o endereço hospedado no espelho, a vítima vê uma tela quase idêntica à verificação de segurança da Cloudflare, com direito à caixa de teste para provar que o usuário é humano.

Logo após a validação, a página executa uma ordem oculta que transfere o internauta para uma página externa sob controle dos fraudadores.

Segundo testes conduzidos pelo portal BleepingComputer e análises da OX Security , as primeiras versões do golpe enviavam o público para endereços falsificados com o objetivo de capturar senhas de contas corporativas.

Em seguida, os responsáveis passaram a utilizar um serviço auxiliar na internet que guarda o link final de redirecionamento.

Com esse recurso, eles conseguem alterar o destino do golpe à distância a qualquer momento, sem precisar republicar arquivos no npm.