Falso 'acelerador Web3' usa pacotes npm maliciosos para espalhar malware e sequestrar tráfego de agentes de IA
Pesquisadores da Elastic identificaram uma campanha que distribui pacotes npm maliciosos sob o pretexto de oferecer créditos gratuitos de IA para Claude (Anthropic) e Gemini (Google), além de ferramentas de codificação e auditorias de segurança. Os pacotes instalam infostealers e backdoors em Windows e macOS, usando a promessa de acesso gratuito a modelos de IA como isca de engenharia social e como vetor para interceptar tráfego destinado a esses provedores.
O caso segue um padrão de ataque à cadeia de suprimentos já bem estabelecido no ecossistema npm, mas com uma isca atualizada para o momento: em vez de prometer bibliotecas úteis genéricas, os operadores se apresentam como um "acelerador Web3" que oferece créditos gratuitos para uso de modelos de IA de ponta — Claude, da Anthropic, e Gemini, do Google — além de ferramentas de codificação assistida e "auditorias de segurança", um gancho bem calibrado para atrair desenvolvedores justamente no momento em que o uso de IA generativa para programar está em alta.
Segundo a Elastic, os pacotes publicados no npm entregam, por trás da fachada, malware de roubo de informação (infostealers) e backdoors tanto para Windows quanto para macOS. O vetor de instalação segue o padrão já documentado de outros ataques à cadeia de suprimentos de software: o desenvolvedor instala o pacote confiando no registro público do npm e na promessa de funcionalidade (acesso a créditos de IA), e o código malicioso executa payloads de persistência e coleta de credenciais no sistema local assim que o pacote é instalado ou executado.
O ângulo específico de "sequestrar tráfego de agentes de IA" é relevante porque mostra os operadores de malware tratando ferramentas de IA não apenas como pretexto de engenharia social, mas também como alvo técnico direto — interceptando ou redirecionando chamadas que, de outra forma, iriam para provedores legítimos, potencialmente para capturar chaves de API, prompts sensíveis ou respostas de modelo, ou para abusar de cotas pagas pela própria vítima.
Na prática, o caso reforça duas lições cada vez mais urgentes: desenvolvedores devem tratar pacotes de terceiros associados a "créditos gratuitos de IA" com o mesmo ceticismo aplicado a qualquer oferta boa demais para ser verdade, e equipes de segurança precisam monitorar o tráfego de saída de ferramentas de IA (chaves, endpoints, volumes) como parte da superfície de ataque corporativa, já que esse tráfego hoje carrega credenciais e dados tão sensíveis quanto qualquer outro canal da organização.