Alerta de Segurança – Nova onda de ataque à repositórios NPM: Shai‑Hulud 2.0
A comunidade de segurança detectou uma nova campanha massiva de ataque à cadeia de suprimentos de software, apelidada de Shai-Hulud 2.0. Essa ameaça comprometeu dezenas de pacotes do registro npm — amplamente usado no ecossistema Node.js — e gerou uma propagação automática do malware para milhares de repositórios.
O que aconteceu
- A nova versão do ataque utiliza scripts de instalação (lifecycle scripts) para executar o malware durante o momento da instalação dos pacotes
- Diversos pacotes populares foram “trojanizados”, inclusive de projetos de grande visibilidade, o que ampliou o alcance da ameaça
- Estima-se que mais de 700 pacotes npm tenham sido comprometidos, e o número de repositórios (downstream) infectados até o momento ultrapasse 25.000
- A técnica utilizada permite o roubo de credenciais, tokens, chaves de acesso a ambientes de nuvem e segredos de CI/CD, com possível exfiltração automática para repositórios controlados pelos atacantes
Nosso contexto — por que você pode ficar tranquilo
Como provedor de nuvem, nossa infraestrutura não depende de npm ou Node.js para a prestação de serviço, ou seja, não fomos afetados diretamente por esse ataque.
No entanto, o incidente serve como um importante alerta para clientes e parceiros que tenham aplicações com dependências em npm/Node.js. Em projetos onde essas tecnologias forem utilizadas, há um risco real de exposição de credenciais ou dados sensíveis em pipelines de CI/CD ou ambientes de produção.
Recomendações para quem utiliza npm / Node.js
- Verificar se há pacotes infectados nas dependências e removê-los ou atualizá-los para versões seguras
- Bloquear ou restringir scripts automáticos de instalação (
preinstall,postinstall) em pipelines de CI/CD - Rotacionar credenciais sensíveis (tokens, chaves de nuvem, segredos)
- Revisar logs e repositórios públicos em busca de evidências de exfiltração ou repositórios com nomes suspeitos
- Adotar práticas de segurança reforçadas, como controle rígido de acesso, monitoramento contínuo e uso de tokens com escopo mínimo e curta duração
Por que isso importa
Esse incidente ressalta o quanto a cadeia de suprimentos de software — especialmente em ecossistemas amplamente utilizados como npm/Node.js — pode representar um vetor de ataque severo e muitas vezes invisível para empresas de todos os portes. Mesmo fornecedores de infraestrutura devem se manter atentos, pois eventuais aplicações de clientes podem carregar riscos.
Em caso de dúvidas, nossa equipe de atendimento está à disposição.