[Fonte única] Empresa falsa usa teste de programação para instalar malware via npm

Dois pacotes que teriam disfarçado malware como plugins do Tailwind foram removidos do npm após permanecerem disponíveis por cerca de cinco e sete meses. Segundo o IntCyberDigest, eles integravam um teste de programação atribuído à AccuraSoftHire, apresentada como uma empresa falsa que recrutava desenvolvedores.[1]IntCyberDigestx.com · IntCyberDigest · xAbrir fonte originalVer na lista de fontes

A publicação afirma que anúncios no Indeed e no Glassdoor, além de recrutadores com identidade verificada no LinkedIn, conduziam candidatos a um teste para fazer em casa. O projeto carregaria do npm pacotes parecidos com plugins legítimos do Tailwind e, durante a execução, instalaria malware na máquina do desenvolvedor.[1]IntCyberDigestx.com · IntCyberDigest · xAbrir fonte originalVer na lista de fontes

O caso sugere um risco difícil de perceber: ferramentas normalmente associadas à confiança, como selos de identidade e registros públicos de pacotes, podem dar aparência legítima a um processo seletivo malicioso. Como candidatos precisam executar código desconhecido para concluir certos testes, a etapa técnica pode virar um caminho de acesso a dados valiosos.[1]IntCyberDigestx.com · IntCyberDigest · xAbrir fonte originalVer na lista de fontes

Diante desse padrão, candidatos podem reduzir a exposição verificando a existência jurídica e o histórico da empresa, examinando dependências antes da instalação e executando testes desconhecidos em uma máquina virtual isolada, sem carteiras, chaves SSH ou sessões de nuvem ativas. Um recrutador verificado, sozinho, não deve ser tratado como prova de que a vaga é legítima.[1]IntCyberDigestx.com · IntCyberDigest · xAbrir fonte originalVer na lista de fontes

O relato identifica a suposta empresa, descreve os alvos do malware e diz que dois pacotes foram removidos. Porém, o lote não traz os nomes desses pacotes, amostras técnicas, quantidade de downloads, vítimas confirmadas, datas exatas de publicação e remoção ou evidência independente sobre quem operava a campanha.[1]IntCyberDigestx.com · IntCyberDigest · xAbrir fonte originalVer na lista de fontes

O IntCyberDigest atribui à StepSecurity a informação de que os dois pacotes permaneceram no npm por aproximadamente cinco e sete meses antes da remoção. A postagem também chama a AccuraSoftHire de empresa falsa, mas a evidência fornecida não inclui a análise original da StepSecurity nem respostas das plataformas mencionadas.[1]IntCyberDigestx.com · IntCyberDigest · xAbrir fonte originalVer na lista de fontes

A sequência relatada começa com vagas publicadas em plataformas conhecidas, passa pelo contato de supostos recrutadores no LinkedIn e chega ao teste de programação. Ao executar o projeto, o candidato carregaria os pacotes semelhantes a plugins do Tailwind. Esses pacotes teriam permanecido no npm por meses, até serem removidos.[1]IntCyberDigestx.com · IntCyberDigest · xAbrir fonte originalVer na lista de fontes

1 grupos independentes, 1 atualizações e 14 interações.

Segundo a postagem, o malware procurava logins armazenados em navegadores, carteiras de criptomoedas, chaves SSH e credenciais de serviços em nuvem. O endereço do servidor de controle seria lido de uma carteira Ethereum, mecanismo que permitiria aos operadores publicar a localização da infraestrutura fora da configuração fixa do pacote.[1]IntCyberDigestx.com · IntCyberDigest · xAbrir fonte originalVer na lista de fontes

A única evidência disponível neste lote é uma publicação do IntCyberDigest no X, que resume descobertas atribuídas à StepSecurity e inclui uma imagem. Sem o relatório primário, registros do npm ou manifestações das plataformas, os detalhes da campanha devem ser tratados como alegações ainda não verificadas de forma independente.[1]IntCyberDigestx.com · IntCyberDigest · xAbrir fonte originalVer na lista de fontes