Um relatório da Unit 42, publicado em 7 de outubro de 2026, revela que a utilização de Web3, ou Web 3.0, por cibercriminosos tem se tornado uma prática comum em ataques à cadeia de suprimentos de software. Essa evolução permite que os atacantes atualizem suas infraestruturas de comando e controle (C2) através de contratos inteligentes, facilitando a dinâmica de suas operações.
Os ataques à cadeia de suprimentos de software estão se tornando um vetor de acesso inicial predominante em ambientes de nuvem corporativa. Os cibercriminosos têm explorado dependências de código aberto para contornar perímetros de autenticação tradicionais, visando coletar tokens de identidade em nuvem, chaves de contas de serviço e segredos de implantação. O relatório destaca campanhas recentes, como o worm ChainDrop e a campanha PolinRider, que demonstram como pacotes de código aberto são projetados para extrair chaves de acesso efêmeras à nuvem.
O worm ChainDrop, associado à família Shai-Hulud, infectou mais de 400 pacotes npm, incluindo bibliotecas populares como keyv e cacheable-request. Esse worm executa um script de pré-instalação que baixa um runtime personalizado para lançar um coletor de credenciais ofuscado. Além de buscar arquivos estáticos, o ChainDrop também examina a memória de processos de construção em execução, capturando chaves de identidade e gerenciamento de acesso (IAM) da nuvem.
Para manter comunicação a longo prazo sem depender de domínios estáticos, o ChainDrop utiliza uma técnica chamada EtherHiding, que consulta transações de contratos inteligentes. Essas transações contêm informações criptografadas dinamicamente para exfiltração de IPs ou domínios. O worm também injeta ganchos de tarefas persistentes que acionam a execução automática sempre que um desenvolvedor abre um projeto ou inicia uma sessão de codificação de IA.
A campanha PolinRider, por sua vez, se espalha por múltiplos repositórios de pacotes, incluindo npm, módulos Go e Packagist. Ao contrário de depender apenas de scripts de instalação padrão, o PolinRider oculta carregadores maliciosos dentro de configurações de repositório, aumentando sua eficácia em ambientes de desenvolvimento.
Os atores de ameaças, como os associados à Coreia do Norte, têm adotado essas técnicas em suas campanhas de cadeia de suprimentos, visando empresas como Axios, Mastra AI e a biblioteca arrayref do Rust. Essa mudança operacional reflete um aumento na sofisticação dos ataques, onde a engenharia social e a exploração de vulnerabilidades em dependências de código aberto são utilizadas para comprometer sistemas.
Para mitigar esses riscos, as organizações são aconselhadas a avaliar se suas operações devem interagir com redes Web3 ou blockchain. Caso não haja necessidade, é recomendado implementar controles de segurança adequados para monitorar e bloquear processos e tráfego de rede comprometidos. Além disso, a automação de políticas de controle em todos os sistemas de integração contínua/implantação contínua (CI/CD) e repositórios de controle de versão é essencial.
O relatório da Unit 42 destaca a importância de uma abordagem proativa na defesa contra esses novos vetores de ataque, enfatizando que a proteção de estações de trabalho de desenvolvedores e runners de CI/CD é crucial, dado que representam uma superfície de ataque privilegiada que abriga credenciais sensíveis.
Com a evolução contínua das técnicas de ataque, espera-se que novas campanhas surjam, explorando cada vez mais a interseção entre Web3 e a cadeia de suprimentos de software. As organizações devem estar preparadas para se adaptar a essas mudanças e fortalecer suas defesas contra ameaças emergentes.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews