Os assistentes de inteligência artificial que ajudam a programar — como o Claude Code, o Cursor ou o Windsurf — tornaram-se ferramentas do dia a dia de milhões de programadores. Uma campanha de malware descoberta este ano mostra que essa mesma integração pode ser transformada numa arma: um verme de cadeia de abastecimento que não se limita a roubar credenciais, mas manipula o próprio assistente de IA para exfiltrar segredos silenciosamente.
Resposta rápida: a campanha SANDWORM_MODE, divulgada pela equipa de investigação da Socket a 20 de fevereiro de 2026 e aprofundada pela CrowdStrike em julho, é um verme de cadeia de abastecimento distribuído através de 19 pacotes npm maliciosos. Além de roubar credenciais e se autopropagar, instala um servidor MCP (Model Context Protocol) fraudulento e usa injeção de prompt para levar assistentes de IA de programação a ler e enviar segredos — chaves SSH, credenciais da cloud e chaves de API — sem o conhecimento do programador. Nota importante: apesar do nome, não há ligação confirmada ao grupo estatal russo Sandworm.
O que é o SANDWORM_MODE
O SANDWORM_MODE é um verme (worm) que se propaga através do registo npm, o repositório de pacotes de software mais usado no ecossistema JavaScript. Os atacantes publicaram pelo menos 19 pacotes maliciosos, sob dois aliases, recorrendo a typosquatting — nomes propositadamente parecidos com os de pacotes populares (por exemplo, suport-color a imitar o legítimo supports-color), à espera de que um programador se engane a escrever.
Segundo a Socket, a campanha tem as marcas do verme Shai-Hulud, que em setembro e novembro de 2025 comprometeu cerca de 800 pacotes npm. O SANDWORM_MODE é descrito como a evolução dessa linhagem — e é importante clarificar: o nome é uma etiqueta interna encontrada no próprio código do malware, não uma atribuição ao conhecido grupo de ciberespionagem russo Sandworm (associado à unidade GRU). Nenhuma fonte pública credível estabelece essa ligação.
A novidade: envenenar os assistentes de IA
O que distingue esta campanha das anteriores é o foco no envenenamento da cadeia de ferramentas de IA (AI toolchain poisoning). Depois de infetar a máquina do programador, o malware instala um servidor MCP fraudulento numa pasta oculta (por exemplo, ~/.dev-utils/) e regista-o junto dos assistentes de IA de programação instalados — Claude Code, Cursor, Windsurf e Continue, entre outros —, usando nomes de ferramentas de aparência inócua.
O Model Context Protocol (MCP) é um padrão que permite aos assistentes de IA ligarem-se a ferramentas e fontes de dados externas. Ao registar um servidor MCP malicioso, o SANDWORM_MODE injeta instruções escondidas nas descrições dessas ferramentas — uma técnica de injeção de prompt. Na prática, o assistente de IA é manipulado para, no decurso normal do seu funcionamento, ler ficheiros sensíveis (chaves SSH, credenciais da AWS, chaves de API de fornecedores de modelos como a OpenAI e a Anthropic) e transmiti-los ao atacante, sem qualquer aviso ao utilizador.
É um salto qualitativo: o assistente que o programador utiliza para ser mais produtivo passa a ser o canal de fuga dos seus próprios segredos, precisamente por ter acesso legítimo ao ambiente de desenvolvimento.
Como funciona a cadeia de ataque
A análise técnica da Socket, da CrowdStrike e de outras equipas descreve um ataque em várias fases, desenhado para escapar à deteção:
- Carregador ofuscado: ao importar o pacote, um loader com várias camadas de codificação é executado, dificultando a análise estática das ferramentas que examinam os pacotes.
- Roubo imediato: a operação financeiramente mais lesiva — o roubo de chaves de criptomoeda — corre de forma instantânea e incondicional.
- Recolha profunda: numa segunda fase, o malware vasculha gestores de palavras-passe e credenciais de sistemas de CI/CD.
- Injeção do servidor MCP: instalação do servidor MCP fraudulento e envenenamento dos assistentes de IA.
- Persistência e propagação: uso de git hooks para persistência e abuso de credenciais roubadas do npm e do GitHub para se propagar a novos repositórios, injetando workflows maliciosos do GitHub Actions.
- Exfiltração multicanal: os dados são enviados por vários canais (API do GitHub, com recurso a DNS como alternativa).
O malware inclui ainda um “interruptor destrutivo” (dead switch) que, segundo os investigadores, estava desativado nas amostras analisadas, mas cuja simples presença revela a intenção de poder causar danos irreversíveis.
Porque é que isto importa em Portugal
A adoção de assistentes de IA de programação em Portugal cresce rapidamente, em empresas de software, startups e equipas internas de desenvolvimento. O SANDWORM_MODE demonstra que a superfície de ataque deixou de estar apenas nos pacotes e nas pipelines: passou a incluir as próprias ferramentas de IA que correm na máquina do programador. Um único npm install mal escrito pode comprometer não só o projeto, mas todo o ambiente de desenvolvimento e as credenciais nele guardadas.
As boas práticas de defesa são concretas: auditar rigorosamente as dependências e fixar versões (evitando instalar às cegas), verificar sempre o nome exato dos pacotes antes de instalar (o typosquatting vive dos erros de escrita), aplicar o princípio do menor privilégio às credenciais e tokens, e monitorizar a criação inesperada de servidores MCP ou alterações nas configurações dos assistentes de IA. Rever periodicamente que servidores MCP estão registados em cada ferramenta de IA é uma verificação que, até há pouco, poucos faziam — e que este caso torna indispensável.
O episódio liga-se a uma tendência mais ampla que temos acompanhado: a de que as ferramentas de IA são hoje alvo e vetor de ataque, e não apenas ferramentas de produtividade. Tal como a IA acelera a descoberta de vulnerabilidades dos dois lados da barricada, também a integração de assistentes de IA no fluxo de trabalho cria novas superfícies que os atacantes já estão a explorar.
Esta informação tem caráter noticioso e baseia-se em investigação publicada pela Socket, CrowdStrike, SecurityWeek e Endor Labs. As referências a ferramentas de IA baseiam-se no que foi reportado publicamente pelas equipas de investigação. A Cibersegurança.PT acompanha o tema de forma estritamente factual.