Hackers da Coreia do Norte comprometem software Axios usado por milhares de empresas nos EUA

Hackers suspeitos de estarem ligados à Coreia do Norte invadiram o software Axios, uma biblioteca de código aberto amplamente utilizada por empresas americanas para gerenciar requisições HTTP em aplicativos web. O incidente ocorreu na manhã de terça-feira, quando os invasores tiveram acesso por cerca de três horas à conta de um desenvolvedor responsável pelo projeto. Durante esse período, eles enviaram atualizações maliciosas para organizações que baixaram as versões comprometidas.

Empresas de diversos setores, incluindo saúde, finanças e companhias que lidam com criptoativos, utilizam o Axios para construir e manter seus sites e aplicações. A Mandiant, empresa de inteligência cibernética do Google, atribuiu o ataque a um grupo de hackers norte-coreano. Especialistas indicam que o objetivo principal envolve o roubo de credenciais e acesso a sistemas para posterior extração de criptomoedas.

Acesso inicial e distribuição maliciosa

Os atacantes comprometeram a conta do desenvolvedor e publicaram versões alteradas do Axios no registro npm. Essas atualizações incluíam uma dependência maliciosa que instalava um backdoor capaz de operar em sistemas Windows, macOS e Linux. A ação permitiu que o malware fosse distribuído automaticamente para quem baixou o pacote durante a janela de exposição.

Empresas que integraram as versões afetadas precisaram agir rapidamente para isolar os sistemas e avaliar possíveis comprometimentos. A corrida para retomar o controle da conta e remover o código malicioso mobilizou equipes de segurança em várias organizações.

Avaliação inicial de vítimas

A Huntress identificou cerca de 135 dispositivos comprometidos, pertencentes a aproximadamente 12 empresas. Esses números representam apenas uma fração inicial das vítimas potenciais, pois muitas organizações ainda investigam se baixaram as versões problemáticas. O volume de downloads semanais do Axios supera dezenas de milhões, o que amplia o alcance do incidente.

Especialistas em segurança cibernética monitoram o tráfego para detectar conexões com servidores de comando e controle usados pelos atacantes. A investigação continua para mapear todos os sistemas afetados e mitigar riscos remanescentes.

Previsão de campanha prolongada

Charles Carmakal, diretor de tecnologia da Mandiant, afirmou que os hackers devem tentar explorar o acesso obtido para roubar criptomoedas de empresas. Ele estimou que a avaliação completa do impacto exigirá meses de análise detalhada em ambientes corporativos. O grupo responsável possui histórico de operações financeiras motivadas por ganhos que beneficiam o regime de Pyongyang.

Leia Tambem

Mar Morto encolhe um metro por ano e forma dolinas que ameaçam turi

Defesa de Courtney Clenney inspeciona facas do crime em audiência na Flórida

Daphne Joy se manifesta após vazamento de vídeo explícito com Diddy

John Hammond, pesquisador da Huntress, descreveu o ataque como perfeitamente cronometrado, aproveitando o uso crescente de ferramentas de inteligência artificial no desenvolvimento de software sem revisões adequadas de segurança. Muitas empresas incorporam componentes de código aberto sem verificação profunda, criando vulnerabilidades na cadeia de suprimentos.

Histórico de operações semelhantes

Este caso representa mais um episódio de ataques à cadeia de suprimentos atribuídos a hackers norte-coreanos. Há três anos, um grupo similar comprometeu outro software popular empregado por redes de saúde e hotéis para chamadas de voz e vídeo. As operações cibernéticas servem como importante fonte de receita para o país, que enfrenta sanções internacionais rigorosas.

Relatórios indicam que hackers ligados à Coreia do Norte roubaram bilhões de dólares em criptomoedas e fundos bancários nos últimos anos. Parte desses recursos financia programas de mísseis e nucleares, conforme avaliações de autoridades e organizações internacionais. No ano passado, um único ataque resultou no roubo de US$ 1,5 bilhão em criptoativos.

Vulnerabilidades na cadeia de suprimentos de software

O Axios funciona como uma ferramenta invisível mas essencial que permite que aplicativos se conectem a serviços na internet. Sua popularidade torna o pacote um alvo atraente para operações que buscam escala e discrição inicial. A dependência de componentes de código aberto sem verificação constante abre portas para inserções maliciosas.

Especialistas recomendam que organizações revisem urgentemente o uso do Axios em seus ambientes e apliquem correções disponíveis. A remoção de versões comprometidas e a implementação de processos rigorosos de verificação de pacotes ajudam a reduzir riscos futuros em projetos de desenvolvimento.

Hackers da Coreia do Norte exploram ferramentas de desenvolvimento amplamente adotadas para obter acesso persistente a redes corporativas. O incidente reforça a necessidade de maior atenção à integridade de atualizações em bibliotecas de código aberto utilizadas diariamente por milhares de empresas.