Malware PhantomRaven usa IA para atacar desenvolvedores via npm

A empresa de segurança CrowdStrike identificou o PhantomRaven, um malware distribuído por pacotes maliciosos no npm (repositório de bibliotecas JavaScript) que foi desenvolvido com ajuda de inteligência artificial. Segundo a investigação, o responsável usava informações roubadas de ambientes de desenvolvimento para encontrar vulnerabilidades e reivindicar recompensas em programas legítimos de bug bounty. O malware se espalhou através de mais de 86 mil downloads em 126 pacotes diferentes.

O ataque explora várias técnicas sofisticadas: usa typosquatting (nomes parecidos com projetos populares), dependências dinâmicas remotas que não aparecem na interface do npm, e scripts de instalação que executam código malicioso. O PhantomRaven coleta dados sensíveis como tokens de autenticação, credenciais, configurações do Git, variáveis de ambiente de sistemas de integração contínua (GitHub Actions, GitLab CI, Jenkins e CircleCI). Uma novidade preocupante: ferramentas de IA de geração de código podem sugerir nomes de pacotes inexistentes que criminosos registram antecipadamente, criando armadilhas para desenvolvedores. O npm 12 passou a restringir a execução automática desses scripts, exigindo autorização explícita, o que limita — mas não elimina — o risco.