Relato: backdoor do Swarm Desktop segue ativo após remoção no npm

A atualização decisiva é que a versão do Swarm Desktop apontada como maliciosa teria sido retirada às 09:04 UTC de 9 de novembro. Segundo o pesquisador, porém, ela permaneceu como versão mais recente por quase oito horas, mesmo depois de o pacote bee-js 13.3.0 ter sido removido do npm em 75 minutos. As evidências fornecidas não mostram que o backdoor continue disponível agora.[1]The npm malware was removed. The desktop backdoor stayed live. (Ethersphere bee-js / Swarm Desktop, 9 Nov 2026)cgsec.dev · rssAbrir fonte originalVer na lista de fontes[2]APT-vs-BellyFATreddit.com · APT-vs-BellyFAT · r/netsec · redditAbrir fonte originalVer na lista de fontes

O autor do relato atribui o incidente a uma identidade de bot de lançamento que teria distribuído o mesmo carregador de cerca de 20 linhas em dois canais: o pacote @ethersphere/bee-js 13.3.0 no npm e o Swarm Desktop 0.56.2 assinado no GitHub Releases. Ele afirma que a publicação no npm acionou um alerta rapidamente, enquanto o aplicativo continuou alimentando seu atualizador automático.[2]APT-vs-BellyFATreddit.com · APT-vs-BellyFAT · r/netsec · redditAbrir fonte originalVer na lista de fontes

O caso sugere uma lacuna entre repositórios: remover um pacote comprometido de um registro não neutraliza automaticamente artefatos publicados pela mesma identidade em projetos relacionados. Nesse episódio, o intervalo alegado teria mantido usuários do aplicativo expostos por horas após o primeiro alerta.[1]The npm malware was removed. The desktop backdoor stayed live. (Ethersphere bee-js / Swarm Desktop, 9 Nov 2026)cgsec.dev · rssAbrir fonte originalVer na lista de fontes[2]APT-vs-BellyFATreddit.com · APT-vs-BellyFAT · r/netsec · redditAbrir fonte originalVer na lista de fontes

Para equipes de segurança, a recomendação do pesquisador é tratar um alerta em um registro como gatilho para examinar a atividade da identidade publicadora em repositórios irmãos. Ele também propõe comparar entre versões os scripts executados durante instalação e o formato dos commits, em vez de confiar apenas em assinatura ou proveniência válidas.[2]APT-vs-BellyFATreddit.com · APT-vs-BellyFAT · r/netsec · redditAbrir fonte originalVer na lista de fontes

O lote permite observar que existe uma publicação sobre o caso e uma explicação detalhada de seu autor no Reddit. Não inclui, porém, o conteúdo do artigo, o alerta original, a análise da Socket, o advisory nem a discussão técnica citada pelo autor. Assim, horários, versões afetadas, autoria do comprometimento, comportamento do carregador e eventual execução em máquinas não podem ser verificados de forma independente aqui.[1]The npm malware was removed. The desktop backdoor stayed live. (Ethersphere bee-js / Swarm Desktop, 9 Nov 2026)cgsec.dev · rssAbrir fonte originalVer na lista de fontes[2]APT-vs-BellyFATreddit.com · APT-vs-BellyFAT · r/netsec · redditAbrir fonte originalVer na lista de fontes

No r/netsec, o autor apresentou o texto como um relato em primeira pessoa e se ofereceu para responder perguntas sobre a lógica de detecção e a cronologia. A discussão fornecida também contém uma crítica ao suposto uso de inteligência artificial na redação do artigo, mas não traz contestação técnica às alegações sobre o incidente.[2]APT-vs-BellyFATreddit.com · APT-vs-BellyFAT · r/netsec · redditAbrir fonte originalVer na lista de fontes[3]MajorUrsa2reddit.com · MajorUrsa2 · r/netsec · redditAbrir fonte originalVer na lista de fontes

Na cronologia relatada, uma regra estrutural sinalizou o bee-js 14 minutos após a publicação porque surgiu um script postinstall depois de 177 versões sem esse mecanismo. O pacote teria sido retirado em 75 minutos. O pesquisador diz ter comunicado a descoberta cruzada às 03:26 UTC e afirma que a tag do Swarm Desktop foi removida às 09:04 UTC.[2]APT-vs-BellyFATreddit.com · APT-vs-BellyFAT · r/netsec · redditAbrir fonte originalVer na lista de fontes

2 grupos independentes, 1 atualizações e 0 interações. Comunidades observadas: r/netsec.

Segundo o autor, os dois artefatos continham o mesmo carregador de aproximadamente 20 linhas, sem ofuscação, e apresentavam proveniência ou assinatura válidas. No npm, o sinal distintivo teria sido a inclusão inédita de um postinstall, um comando executado automaticamente durante a instalação do pacote.[2]APT-vs-BellyFATreddit.com · APT-vs-BellyFAT · r/netsec · redditAbrir fonte originalVer na lista de fontes

A evidência primária disponível no lote é apenas o título e o endereço do artigo da CGSec, sem corpo ou mídia. Os detalhes técnicos e temporais vêm de um comentário no qual o usuário APT-vs-BellyFAT se identifica como autor. A submissão do Reddit apenas aponta para o artigo, e o outro comentário trata da redação, não do comprometimento. Por isso, a narrativa técnica deve permanecer atribuída ao pesquisador.[1]The npm malware was removed. The desktop backdoor stayed live. (Ethersphere bee-js / Swarm Desktop, 9 Nov 2026)cgsec.dev · rssAbrir fonte originalVer na lista de fontes[2]APT-vs-BellyFATreddit.com · APT-vs-BellyFAT · r/netsec · redditAbrir fonte originalVer na lista de fontes[4]The npm malware was removed. The desktop backdoor stayed live. (Ethersphere bee-js / Swarm Desktop, 9 Nov 2026)reddit.com · APT-vs-BellyFAT · r/netsec · redditAbrir fonte originalVer na lista de fontes