Publicado em 14 de setembro de 2025 – por Consuelo Martins | Tech Negócios
Malware autorreplicante foi projetado para roubar credenciais de desenvolvedores e segredos de nuvem, criando um efeito cascata de alto risco em milhares de projetos.
Pesquisadores de cibersegurança identificaram um sofisticado ataque à cadeia de suprimentos de software que comprometeu mais de 180 pacotes no registro npm, o maior repositório de pacotes JavaScript do mundo. Divulgado em 14 de setembro de 2025, o ataque foi apelidado de “Shai-Hulud” devido ao seu comportamento de “verme” (worm), capaz de se autorreplicar de forma agressiva pelo ecossistema de desenvolvimento.
Mecanismo de infecção em cascata
O ataque começou com a publicação de uma versão maliciosa do pacote `rxnt-authentication`. Uma vez instalado por um desenvolvedor, o malware se ativava e buscava outros pacotes mantidos pelo mesmo usuário. Em seguida, injetava o código malicioso nesses projetos e os republicava no npm como novas versões infectadas. Essa tática permitiu uma disseminação exponencial, atingindo pacotes que são dependências em milhares de projetos de software ao redor do mundo.
O alvo: credenciais e segredos de nuvem
O principal objetivo do malware era exfiltrar dados sensíveis dos ambientes de desenvolvimento, como tokens de acesso, chaves de API e outras credenciais de nuvem. De forma ainda mais ousada, o código malicioso tentava tornar públicos repositórios privados nos quais encontrava segredos valiosos, ampliando o potencial de dano para as empresas afetadas.
Impacto e a necessidade de confiança zero
O incidente mina severamente a confiança na segurança dos pacotes de código aberto. Para as empresas, serve como um alerta crítico sobre a necessidade de implementar políticas de segurança mais rigorosas, como verificação de dependências e monitoramento de credenciais. A tendência de ataques à cadeia de suprimentos de software se consolida como uma das maiores ameaças digitais, exigindo uma postura de “confiança zero” (zero trust) não apenas nas redes, mas em todo o ciclo de vida de desenvolvimento de software (SDLC).
