Pacotes npm da Jscrambler comprometidos por variante Linux do IronWorm
Foram detetadas versões comprometidas do pacote npm da Jscrambler, publicadas a 11 de julho de 2026, que transportam um carregador do malware IronWorm. A variante para Linux consegue propagar-se por outros pacotes através de tokens npm roubados.
Uma nova versão do malware IronWorm foi identificada em versões comprometidas do pacote npm jscrambler, publicadas a 11 de julho de 2026, segundo um relatório divulgado pelo CISOCLUB com base em informação do serviço CTT Report Hub. O carregador malicioso está presente no ficheiro package/dist/intro.js das versões 8.14.0, 8.16.0, 8.17.0, 8.18.0 e 8.20.0.
Propagação através do registo npm
O carregador reconhece o seu contentor por bytes mágicos e extrai a carga útil adequada à plataforma, que é descompactada com gzip e executada como processo destacado. O contentor inclui cargas para Linux x86-64 (ELF), Windows x86-64 (PE) e macOS ARM64 (Mach-O).
A carga destinada ao Linux procura credenciais de npm em variáveis de ambiente e ficheiros, incluindo NPM_TOKEN, NODE_AUTH_TOKEN e .npmrc, e valida os tokens obtidos através da API do npm. De seguida, enumeria organizações e pacotes, dando prioridade aos mais populares com base nas estatísticas de transferências do próprio registo.
Para infetar outros pacotes, a carga descarrega os respetivos arquivos, acrescenta um script setup.mjs e altera o package.json para o executar através de preinstall. A publicação das versões comprometidas é feita com pedidos HTTP PUT diretos ao registo npm, que utilizam um token roubado do tipo bearer.
Alvos e infraestrutura
O relatório indica que o IronWorm procura agora carteiras sob a forma de extensões de navegador, como MetaMask e Trust Wallet, credenciais de VPN e redes, chaves de serviços ocultos Tor, gestores de palavras-passe como 1Password e Bitwarden, a carteira do KDE, credenciais de serviços em nuvem e de desenvolvedores, além de configurações de ferramentas de segurança ofensiva. As cadeias de caracteres do programa são protegidas por cifra ChaCha20-Poly1305, com um valor distinto por local de invocação.
A persistência é conseguida através de serviços systemd ou cron no Linux, LaunchAgents e LaunchDaemons no macOS e da pasta de arranque automático no Windows. O relatório identifica também endereços IP dos servidores de controlo 37.27.122.124 e 57.128.246.79 e aponta para a possibilidade de o malware carregar e executar o próprio Tor Expert Bundle, comunicando via SOCKS5.
Porque importa
A incidente mostra como a cadeia de fornecimento de pacotes npm pode ser explorada para distribuir código malicioso através de credenciais já comprometidas, afetando qualquer projeto que dependa das versões atingidas. A capacidade de propagação automática a partir de tokens roubados aumenta o alcance potencial do ataque, uma vez que o próprio malware identifica os pacotes mais transferidos como alvos prioritários.
