- Pesquisadores de segurança cibernética revelaram um conjunto de sete pacotes npm publicados por um único ator malicioso, utilizando um serviço de ocultação chamado Adspect.
- O Adspect visa anunciar um serviço baseado em nuvem projetado para proteger campanhas publicitárias contra tráfego indesejado, incluindo fraude de cliques e bots de empresas de antivírus.
- Seis pacotes npm contêm 39 kB de malware que se oculta e faz uma cópia da impressão digital do sistema.
Pesquisadores de segurança cibernética revelaram um conjunto de sete pacotes npm publicados por um único ator da ameaça. Esses pacotes usam um serviço de camuflagem chamado Adspect para distinguir entre vítimas reais e pesquisadores de segurança, redirecionando-os eventualmente para sites duvidosos com tema de criptomoeda.
Os pacotes npm maliciosos foram publicados por um ator da ameaça chamado “dino_reborn” entre setembro e novembro de 2025. Os pacotes incluem signals-embed (342 downloads), dsidospsodlks (184 downloads), applicationooks21 (340 downloads), application-phskck (199 downloads), integrator-filescrypt2025 (199 downloads), integrator-2829 (276 downloads) e integrator-2830 (290 downloads).
O Adspect se passa por um serviço baseado em nuvem que protege campanhas de publicidade
De acordo com seu site, o Adspect anuncia um serviço baseado em nuvem projetado para proteger campanhas de publicidade de tráfego indesejado, incluindo fraude de cliques e bots de empresas de antivírus. Ela também afirma oferecer “cloaking à prova de balas” e que “camufla de forma confiável cada plataforma de publicidade.”
Ele oferece três planos: Ant-Fraud, Personal e Professional, que custam US$ 299, US$ 499 e US$ 999 por mês. A empresa também afirma que os usuários podem anunciar “qualquer coisa que quiserem”, acrescentando que segue uma política de não fazer perguntas: “não nos importamos com o que você executa e não aplicamos nenhuma regra de conteúdo.”
A pesquisadora de segurança do Socket, Olivia Brown, afirmou, “Ao visitar um site falso construído por um dos pacotes, o ator da ameaça determina se o visitante é uma vítima ou um pesquisador de segurança […] Se o visitante for uma vítima, ele vê um CAPTCHA falso, eventualmente levando-o a um site malicioso. Se for um pesquisador de segurança, apenas algumas pistas no site falso revelariam que algo nefasto pode estar ocorrendo.”
A capacidade do AdSpect de bloquear as ações dos pesquisadores em seu navegador da web
Destes pacotes, seis possuem um trecho de malware de 39 kB que se oculta e faz uma cópia da impressão digital do sistema. Ele também tenta evitar a análise bloqueando ações do desenvolvedor em um navegador da web, o que impede que os pesquisadores visualizem o código-fonte ou lancem ferramentas de desenvolvedor.
Os pacotes aproveitam um recurso do JavaScript chamado “Immediately Invoked Function Expression (IIFE)”. Ele permite que o código malicioso seja executado imediatamente ao ser carregado no navegador da web.
No entanto, o “signals-embed” não possui nenhuma funcionalidade maliciosa direta e é projetado para construir uma página falsa em branco. As informações capturadas são então enviadas para um proxy (“association-google[.]xyz/adspect-proxy[.]php”) para determinar se a fonte do tráfego é de uma vítima ou de um pesquisador, e então exibir um CAPTCHA falso.
Após a vítima clicar na caixa de seleção do CAPTCHA, ela é redirecionada para uma página falsa relacionada a criptomoedas que se passa por serviços como o StandX, com o provável objetivo de roubar ativos digitais. Mas se os visitantes forem sinalizados como possíveis pesquisadores, uma página falsa branca é exibida aos usuários. Ela também apresenta código HTML relacionado à exibição da política de privacidade associada a uma empresa falsa chamada Offlido.
Este relatório coincide com o relatório da Amazon Web Services. Ele afirmou que sua equipe da Amazon Inspector identificou e relatou mais de 150.000 pacotes vinculados a uma campanha coordenada de mineração de tokens TEA no registro npm, que tem origem em uma onda inicial detectada em abril de 2024.
“Este é um dos maiores incidentes de inundação de pacotes na história dos registros de código aberto e representa um momento definidor na segurança da cadeia de suprimentos,” disseram os pesquisadores Chi Tran e Charlie Bacon. “Os atores da ameaça geram e publicam pacotes automaticamente para ganhar recompensas em criptomoeda sem o conhecimento do usuário, revelando como a campanha se expandiu exponencialmente desde sua identificação inicial.”
Não apenas leia notícias sobre criptomoedas. Entenda-as. Inscreva-se em nossa newsletter. É grátis.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Florence Muchai
Florence cobre notícias sobre criptoativos, jogos, tecnologia e IA há 6 anos. Sua graduação em Estudos de Computação na Meru University of Science and Technology e em Gestão de Desastres e Diplomacia Internacional no MMUST equipam-na plenamente com habilidades linguísticas, de observação e técnicas. Florence trabalhou no VAP Group e como editora em várias casas de mídia de criptoativos.
