E aqui est\u00e1 um exemplo mais recente: em 26 de julho de 2022, nossos pesquisadores descobriram uma nova amea\u00e7a<\/a> que apareceu no reposit\u00f3rio npm de c\u00f3digo aberto que eles apelidaram de LofyLife.<\/p>\n Usando um sistema automatizado interno para monitorar reposit\u00f3rios de c\u00f3digo aberto, nossos pesquisadores identificaram a campanha maliciosa LofyLife. A campanha empregou quatro pacotes maliciosos espalhando os malwares Volt Stealer e Lofy Stealer no reposit\u00f3rio npm para coletar v\u00e1rias informa\u00e7\u00f5es das v\u00edtimas, incluindo tokens Discord e informa\u00e7\u00f5es de cart\u00e3o de cr\u00e9dito vinculadas, e espion\u00e1-las ao longo do tempo.<\/p>\n Os pacotes maliciosos identificados pareciam ser usados para tarefas comuns, como formata\u00e7\u00e3o de t\u00edtulos ou certas fun\u00e7\u00f5es de jogos. As descri\u00e7\u00f5es dos pacotes estavam incompletas e, no geral, parece que os invasores n\u00e3o se esfor\u00e7aram muito. No entanto, o pacote de \u2018formata\u00e7\u00e3o de t\u00edtulos\u2019 estava em portugu\u00eas do Brasil com a hashtag #brazil, o que mostra que os invasores que procuram atingir usu\u00e1rios baseados no Brasil. Outros pacotes foram apresentados em ingl\u00eas, para que pudessem ser direcionados a usu\u00e1rios de outros pa\u00edses.<\/p>\n Descri\u00e7\u00e3o de um dos pacotes infectados chamado \u201cproc-title\u201d (Tradu\u00e7\u00e3o do portugu\u00eas: Este pacote formata corretamente seus t\u00edtulos conforme o manual de estilo de Chicago)<\/p><\/div>\n Esses pacotes, no entanto, continham c\u00f3digos JavaScript e Python maliciosos altamente ofuscados. Isso os tornou mais dif\u00edceis de analisar ao serem carregados no reposit\u00f3rio. A carga maliciosa consistia em um malware escrito em Python chamado Volt Stealer \u2013 um script malicioso de c\u00f3digo aberto e um malware JavaScript chamado Lofy Stealer, que possui v\u00e1rios recursos.<\/p>\n O Volt Stealer foi usado para roubar tokens Discord das m\u00e1quinas infectadas junto com o endere\u00e7o IP da v\u00edtima e carreg\u00e1-los via HTTP. O Lofy Stealer, um novo desenvolvimento dos invasores, \u00e9 capaz de infectar arquivos do cliente Discord e monitorar as a\u00e7\u00f5es da v\u00edtima \u2014 detectando quando um usu\u00e1rio faz login, altera e-mail ou senha cadastrados, ativa ou desativa a autentica\u00e7\u00e3o multifator e adiciona novos m\u00e9todos de pagamentos (nesse caso, ele rouba detalhes completos do cart\u00e3o de cr\u00e9dito). Ele carrega as informa\u00e7\u00f5es coletadas para o endpoint remoto.<\/p>\n Os reposit\u00f3rios de c\u00f3digo aberto permitem que qualquer pessoa publique seus pr\u00f3prios pacotes, e nem todos s\u00e3o completamente seguros. Por exemplo, os invasores podem se passar por pacotes npm populares alterando uma ou duas letras no nome para enganar o usu\u00e1rio e faz\u00ea-lo pensar que est\u00e1 baixando o pacote original. Portanto, recomendamos estar atento e n\u00e3o tratar os pacotes como confi\u00e1veis.<\/p>\n Em geral, ambientes de desenvolvimento ou constru\u00e7\u00e3o s\u00e3o alvos convenientes para invasores que tentam organizar ataques \u00e0 cadeia de suprimentos. Isso significa que esses ambientes exigem urgentemente uma forte prote\u00e7\u00e3o antimalware, a Kaspersky Hybrid Cloud Security<\/a>. Nossos produtos detectam com sucesso o ataque LofyLife com veredictos HEUR:Trojan.Script.Lofy.gen e Trojan.Python.Lofy.a.<\/p>\n Se voc\u00ea quiser ser um dos primeiros a saber sobre novas campanhas maliciosas espalhadas por meio de c\u00f3digo-fonte aberto, assine feeds e relat\u00f3rios de intelig\u00eancia de amea\u00e7as, como os fornecidos pelo Threat Intelligence Portal<\/a>.<\/p>\nEnt\u00e3o, o que \u00e9 LofyLife?<\/h2>\n
![](\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/94\/2022\/08\/10165758\/lofylife-malicious-packages-in-npm-repository-proc-title.jpg\")
Como se proteger de pacotes maliciosos<\/h2>\n
![\"Incentive](\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/94\/2020\/04\/15080845\/human-factor-weakest-link-desktop-br.png\")
<\/a><\/p>\n