Versão maliciosa do npm tensorlake rouba credenciais e apaga diretório home

O que aconteceu

Uma versão do pacote de código tensorlake, disponível no npm, contém código malicioso que rouba credenciais ao ser instalada. Ela tenta se espalhar para outros pacotes e repositórios e apaga os arquivos do usuário caso um token roubado do GitHub seja revogado. O GitHub publicou o advisory GHSA-8g63-53c9-65j2 e a StepSecurity detalhou o ataque.

Por que importa

O código rouba tokens do GitHub e do npm, chaves de nuvem, segredos de Kubernetes e Vault, chaves SSH, senhas de navegador e credenciais de ferramentas de IA como Claude, Cursor e Windsurf. O alvo são máquinas de desenvolvedores, e contas roubadas servem para infectar outros pacotes e repositórios da empresa. Revogar o token antes da limpeza dispara a exclusão do diretório home.

O que fazer

Verifique com npm ls tensorlake e nos lockfiles se a versão 0.5.144 foi instalada, ou se o repositório tensorlakeai/tensorlake foi clonado desde 7 de outubro; fixe em 0.5.143. Nas máquinas afetadas, remova primeiro o serviço gh-token-monitor e só depois revoguem os tokens e rotacionem as demais credenciais. Procure repositórios novos com a descrição 'Shai-Hulud' e commits do autor claude@users.noreply.github.com.

Para o time técnico

Afetados

tensorlake (npm) · npm: tensorlake@0.5.144. GitHub: tensorlakeai/tensorlake branch main, commits e90c47b a 6386121; payload em typescript/lib/.

Exploração

Versão maliciosa publicada no npm às 01:12 UTC de 8 de outubro de 2026. StepSecurity detectou com o AI Package Analyst e reportou aos mantenedores na issue #1014; o advisory GHSA-8g63-53c9-65j2 (gravidade critical na referência) sinaliza a versão. Quando a StepSecurity verificou, 0.5.144 ainda podia ser baixada do npm.

Correção

Fixar tensorlake em 0.5.143, remover node_modules e executar npm cache clean --force. ignore-scripts=true em .npmrc bloqueia ganchos de instalação. Não há versão corrigida posterior; 0.5.144 deve ser removida dos ambientes.

Vetor

Gancho preinstall (setup.mjs) no pacote npm tensorlake 0.5.144, publicado pelo workflow de release do próprio repositório tensorlakeai/tensorlake após commits maliciosos enviados direto à branch main sob identidade de mantenedor, sem pull request. O gancho pula CI e mira máquinas de desenvolvedores. Condição: instalar o pacote, ou clonar/pull da main desde 7 de outubro e rodar npm install em typescript/. Baixa o runtime Bun e executa arquivo ofuscado de 856 KB.

Mais detalhes

Ordem de remediação da StepSecurity: não revogar tokens antes de remover o monitor. Verificar ~/.config/gh-token-monitor/, ler o arquivo de token e parar o serviço (systemctl no Linux, launchctl no macOS, Task Scheduler no Windows); depois revogar o token GitHub e rotacionar tokens npm, chaves de nuvem, SSH, Kubernetes, Vault, segredos em .env, chaves de IA e senhas de navegador; checar propagação (repos públicos "Shai-Hulud", commits de claude@users.noreply.github.com, arquivos .claude e .vscode não adicionados); reinstalar a máquina se não houver certeza. O monitor checa o token a cada 60 segundos por até 24 horas; se o GitHub rejeitar, executa rm -rf ~/ (PowerShell equivalente no Windows). O malware escreve .claude/settings.json e .vscode/tasks.json para reexecutar em Claude Code e VS Code. Com token npm roubado, baixa pacotes da vítima, injeta a si mesmo, sobe a versão e republica. A release tem atestado de proveniência npm válido porque foi construída a partir da main comprometida; a attestation informa onde o pacote foi construído, não que o código é seguro. Primeiro commit malicioso às 01:20 UTC de 7 de outubro de 2026; oito commits no total. StepSecurity lista hashes SHA-256 de setup.mjs e Math_Symbol.js na seção de indicadores. Se executou só em CI, o gancho pula; rotacionar mesmo assim os segredos visíveis ao job.

Linha do tempo

1. 26/10/2026 13:34

   Advisory do GitHub sinaliza a release 0.5.144 do tensorlake.

Fontes 2 fontes

• GitHub advisory GHSA-8g63-53c9-65j2 GitHub
• StepSecurity analysis StepSecurity

Ver todas as notícias