A Amazon Threat Intelligence (ATI) revelou que um grupo de hackers ligado à Coreia do Norte esteve por detrás de uma campanha coordenada de comprometimento da cadeia de fornecimento de software de código aberto, atingindo quatro pacotes JavaScript amplamente utilizados no registo NPM. Segundo a investigação da AWS, os comprometimentos das bibliotecas axios, debug, chalk e typo-crypto foram levados a cabo pelo mesmo agente de ameaça ligado à RPDC, seguido pela comunidade de segurança sob os nomes SAPPHIRE SLEET, STARDUST CHOLLIMA, BlueNoroff, CageyChameleon e Alluring Pisces.
Resposta rápida: A Amazon associou quatro comprometimentos de pacotes NPM (typo-crypto, debug, chalk e axios) ao mesmo grupo norte-coreano, num período de 12 meses. Os atacantes não invadiram a infraestrutura do NPM: manipularam por engenharia social os programadores de confiança que mantêm esses pacotes. Se a sua organização usa dependências de código aberto, deve fixar versões, ativar revisão de atualizações e monitorizar comportamentos suspeitos em builds.
O que a Amazon descobriu
Numa investigação publicada a 29 de julho, a Amazon Threat Intelligence avalia com confiança moderada que o grupo por detrás do comprometimento do axios em março de 2026 esteve também por detrás dos restantes casos. Embora o ataque ao axios já tivesse sido publicamente atribuído a um grupo com nexo norte-coreano, a novidade da análise está na consolidação. A avaliação liga pela primeira vez o mesmo grupo, com motivação financeira, aos comprometimentos de quatro grandes pacotes JavaScript — typo-crypto, debug, chalk e axios —, com base em conclusões técnicas que incluíram reutilização de código e semelhanças na forma como os ataques foram executados.
A dimensão do problema explica-se pelo alcance destas bibliotecas. O pacote axios, só por si, recebe mais de 100 milhões de descarregamentos por semana, e o seu comprometimento tinha sido previamente atribuído ao grupo norte-coreano. O modo de operação foi consistente em todos os casos: em cada incidente, os atacantes enganaram um responsável de manutenção de software de confiança e usaram esse acesso para publicar uma atualização contendo código malicioso. Nas palavras de um dos investigadores da Amazon citado pela imprensa, «eles não partiram uma janela».
Cronologia: de ensaio discreto a impacto massivo
A investigação começou por acaso. Durante a análise de rotina de indicadores e TTP relacionados com o agente de ameaça do axios, a Amazon Threat Intelligence identificou uma ligação a um domínio registado em 2025, o que motivou uma investigação completa ao seu histórico de atividade. Esse rasto levou até ao pacote typo-crypto. Com base no número limitado de descarregamentos observados, a Amazon avalia que essa campanha foi de pequena escala e provavelmente serviu de campo de testes para as operações de cadeia de fornecimento mais visíveis que se seguiram em finais de 2025 e em 2026.
| Data | Pacote(s) | Nota |
|---|---|---|
| Março de 2025 | typo-crypto | Ficheiro trojanizado; funcionou como ensaio de baixo volume |
| Setembro de 2025 | debug, chalk | Escalada; forte impacto em ambientes de nuvem |
| Março de 2026 | axios | Mais de 100 milhões de descarregamentos semanais |
| 29 de julho de 2026 | — | Publicação da atribuição consolidada pela Amazon |
A gravidade dos casos de setembro foi assinalável. Conforme reportado pela Wiz Research, cerca de 1 em cada 10 ambientes de nuvem foram afetados pelo evento de cadeia de fornecimento do debug e do chalk numa janela de aproximadamente duas horas. Ainda assim, o retorno financeiro imediato terá sido modesto: fontes citadas pela imprensa referiram que as carteiras visadas em setembro renderam uma quantia pequena, o que reforça a leitura de que parte destes ataques serviu de teste para operações de maior escala.
Como funcionava o código malicioso
No caso do typo-crypto, a técnica revela o cuidado com a discrição. O ficheiro malicioso, core.js, disfarçava-se do pacote NPM legítimo core-js dentro do repositório typo-crypto. A ativação era condicionada: o ficheiro trojanizado executava quando recebia um hash de entrada começado pelo valor 0098273 e, quando acionado, descarregava uma carga de segunda fase a partir de um servidor de comando e controlo fixo, executando-a de acordo com o sistema operativo da vítima, com comportamento adaptado a Windows, macOS ou Linux.
A ofuscação era outra marca do grupo. O malware implementava persistência baseada em ficheiros com rotação de cargas e usava ofuscação em múltiplas camadas, combinando texto codificado em base64 com uma cifra XOR com chave 01042025. A Amazon reportou o achado à base de dados de vulnerabilidades de código aberto. O Amazon Inspector reportou este malware à base de dados Open Source Vulnerabilities (OSV), onde é agora seguido como MAL-2026-3400, para que a comunidade de segurança beneficie destas conclusões.
Indicadores de comprometimento
Segundo a análise técnica difundida, os principais indicadores associados ao caso typo-crypto incluem:
| Tipo | Indicador |
|---|---|
| Domínio C2 | npmjs[.]store |
| Endereço IP | 216[.]74[.]123[.]126 |
| Ficheiro | core.js (imita core-js) |
| MAL-ID (OSV) | MAL-2026-3400 ([email protected]) |
| Chave XOR | 01042025 |
| Gatilho de hash | Prefixo 0098273 |
Os indicadores de rede citados são npmjs[.]store e 216[.]74[.]123[.]126, e o registo OSV MAL-2026-3400 identifica [email protected], credita o Amazon Inspector e foi publicado a 8 de maio, quase três meses antes da atribuição.
Uma peça no financiamento do regime
A leitura da Amazon enquadra-se num padrão bem conhecido. A Coreia do Norte trata há muito as operações cibernéticas como instrumento de informação e fonte de receita: os seus hackers roubam criptomoeda, conduzem espionagem e extorquem vítimas, enquanto operativos que se fazem passar por trabalhadores remotos de TI obtêm empregos em empresas estrangeiras e canalizam discretamente os salários de volta para o regime. Responsáveis norte-americanos afirmam que os proventos ajudam Pyongyang a contornar sanções e a financiar os seus programas de armas nucleares e de mísseis balísticos.
Vale a pena notar as ressalvas de outros investigadores quanto à força da atribuição. Segundo análises independentes, as atribuições do axios surgiram no espaço de dois dias após o comprometimento, ao passo que os outros dois casos foram atribuídos dez e dezasseis meses depois dos factos. A atribuição da Amazon assenta em sobreposições de infraestrutura e semelhanças técnicas, e não em prova pública direta de cada intrusão — daí a formulação de «confiança moderada» usada pela própria empresa.
Porque importa para Portugal
Estes ataques não são um problema distante. Praticamente qualquer aplicação moderna em Portugal — de startups a bancos e serviços públicos — depende de bibliotecas JavaScript como estas. Organizações configuradas para descarregar automaticamente a versão mais recente destes pacotes ficam expostas ao código malicioso quando este é publicado. O risco propaga-se em cadeia: um único programador comprometido pode abrir caminho para toda a organização e para os seus ambientes de nuvem.
Para as PME e organizações abrangidas pelo novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, transposição da NIS2), a segurança da cadeia de fornecimento de software passou a ser uma exigência formal de gestão de risco, e não uma boa prática opcional. O CNCS e o CERT.PT recomendam desde há muito a monitorização de dependências e a resposta rápida a comprometimentos. Quando o incidente resulta em acesso a dados pessoais, aplica-se também o RGPD, com potenciais deveres de notificação à CNPD.
Medidas concretas de mitigação
- Fixe (pin) as versões das dependências e evite instalar automaticamente a última versão em ambientes de produção e de build.
- Gere e mantenha um SBOM (inventário de componentes de software) para saber onde dependem os seus sistemas de código aberto.
- Verifique os indicadores acima (
npmjs[.]store,216[.]74[.]123[.]126) e o registoMAL-2026-3400nos seus logs e dependências. - Restrinja ou audite scripts de
post-installdo NPM, um vetor frequente destas campanhas. - Ative alertas de segurança nos registos de pacotes e integre ferramentas de deteção na cadeia de CI/CD.
- Sensibilize as equipas de desenvolvimento para as táticas de engenharia social dirigidas a responsáveis de manutenção e a candidatos a emprego.
Perguntas frequentes
Que pacotes NPM foram afetados?
A Amazon associou os comprometimentos de quatro pacotes JavaScript ao mesmo grupo: typo-crypto (março de 2025), debug e chalk (setembro de 2025) e axios (março de 2026). O axios é dos mais utilizados, com mais de 100 milhões de descarregamentos por semana.
Como conseguiram os atacantes publicar código malicioso?
Não invadiram a infraestrutura do NPM. Em cada caso, manipularam por engenharia social um responsável de manutenção de confiança e usaram esse acesso legítimo para publicar uma atualização com código escondido.
A minha empresa em Portugal está em risco?
Se usa aplicações que dependem destas bibliotecas e descarrega versões automaticamente, pode ter estado exposta. Verifique dependências e indicadores de comprometimento, e fixe versões estáveis conhecidas.
Qual o grau de certeza da atribuição à Coreia do Norte?
A Amazon avalia com confiança moderada, com base em reutilização de código, sobreposição de infraestrutura e semelhanças técnicas. O caso do axios já tinha sido atribuído por outros investigadores a um grupo norte-coreano; a novidade é a consolidação dos quatro casos.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Amazon Threat Intelligence / AWS, pela Wiz Research e por relatos da imprensa especializada.