Um alerta de segurança surgiu nesta semana quando pesquisadores da BleepingComputer identificaram pacotes falsificados de SDKs de pagamento publicados no Node Package Manager (NPM) e no Python Package Index (PyPI). Os pacotes, mascarados como “@paysafe/sdk”, “@skrill/sdk” e “neteller/sdk”, continham um malware de tipo stealer que captura credenciais de autenticação, tokens de sessão e outras informações sensíveis. A descoberta veio depois que o pesquisador analisou logs de execução e percebeu que o código fazia chamadas de rede maliciosas para servidores de comando e controle.

Os atacantes aproveitaram a popularidade dessas bibliotecas, que são usadas por milhares de projetos de software para integrar pagamentos. Ao publicar pacotes com nomes quase idênticos, eles enganam os desenvolvedores que, ao instalar a dependência, acabam baixando o código malicioso. A velocidade de propagação foi maior do que se imagina: em menos de 48 horas o número de downloads dos pacotes falsificados ultrapassou 200.000, atingindo tanto projetos corporativos quanto pequenos aplicativos pessoais.

A situação chegou a colocar em risco empresas que dependem de integração com os provedores de pagamento. Se credenciais de API forem comprometidas, atacantes podem manipular transações, roubar dinheiro ou acessar dados de clientes. Em alguns casos, o malware também persistiu na máquina do desenvolvedor, permitindo que futuros builds de software fossem infectados.

No contexto brasileiro, o impacto pode ser ainda mais severo. O Brasil tem uma economia digital em expansão, com milhares de startups e grandes empresas adotando soluções de pagamento online. Muitos desses sistemas utilizam SDKs de terceiros para acelerar o desenvolvimento. Se um desenvolvedor instalar erroneamente um desses pacotes maliciosos, os dados de autenticação das contas de pagamento podem ser roubados, gerando perdas financeiras diretas e danos à reputação. Além disso, a Lei Geral de Proteção de Dados (LGPD) impõe fortes sanções a falhas de segurança que resultam em vazamento de dados pessoais. Caso credenciais de clientes sejam expostas, a empresa pode ser multada em até 2% do faturamento anual, além de ter que notificar os titulares e a Autoridade Nacional de Proteção de Dados (ANPD).

Outro ponto crítico é o efeito em cascata. Muitas empresas brasileiras já dependem de serviços de terceiros para a autenticação de usuários, como o Google ou o Facebook. Se o malware conseguir capturar tokens de sessão, pode ser possível acessar contas de usuários em múltiplos serviços, ampliando o escopo do ataque.

Para entender o mecanismo, vale explicar que os pacotes NPM e PyPI funcionam como repositórios de código aberto. Quando um desenvolvedor executa “npm install @paysafe/sdk”, o gerenciador baixa o arquivo “package.json” e executa o script de pós-instalação. Os pacotes maliciosos incluíam um script que, após a instalação, criavaShares de arquivos na máquina do usuário, rastreava variáveis de ambiente que contêm chaves de API e enviava essas informações a servidores controlados pelos invasores. O código não era binário, mas sim JavaScript ou Python, o que facilitou a injeção de vulnerabilidades.

A boa notícia é que a detecção foi rápida. A BleepingComputer alertou a comunidade em 22 de julho, e os mantenedores do NPM e PyPI já tiveram que remover os pacotes falsificados. No entanto, a persistência do malware em sistemas que já tinham instalado a dependência significa que empresas devem tomar medidas imediatas.

O que fazer? Primeiro, verifique se seu projeto possui dependências com os nomes “@paysafe/sdk”, “@skrill/sdk” ou “neteller/sdk”. Se encontrar, remova a dependência e busque a versão oficial do SDK no repositório oficial do provedor de pagamento. Em seguida, rode um scanner de malware em todas as máquinas de desenvolvimento e nos servidores de CI/CD. Ferramentas como o SonarQube, o Snyk ou o npm audit podem detectar pacotes comprometidos. Se o malware já foi executado, faça uma varredura completa com um anti-malware atualizado e remova arquivos suspeitos. Por último, altere todas as chaves de API que possam ter sido comprometidas e monitore transações suspeitas.

Com relação à prevenção, os mantenedores de pacotes devem implementar verificações de assinatura digital. O NPM já permite publicar pacotes assinados, mas a obrigatoriedade ainda não é universal. No Brasil, a ANPD recomenda a adoção de práticas de segurança de código aberto, incluindo a verificação de hash deλογ.

O que esperar nos próximos dias? É provável que a comunidade de segurança continue investigando outrasleições semelhantes em diferentes repositórios. Além disso, os provedores de pagamento que tiveram seus SDKs comprometidos deverão publicar alertas de segurança e instruções específicas para seus clientes. No cenário mais amplo, a tendência é que a indústria de código aberto comece a adotar requisitos de assinatura e revisão de código mais rigorosos, a fim de evitar que pacotes maliciosos circulem.

Em resumo, a descoberta de pacotes falsificados que roubam credenciais de pagamento é um alerta claro de que a segurança no ecossistema de desenvolvimento de software precisa ser tratada com maior seriedade. Desenvolvedores brasileiros, em particular, devem ficar atentos ao nome das dependências, revisar suas credenciais e manter seus sistemas protegidos. A ameaça já mostrou que, em poucos dias, pode se espalhar rapidamente, mas com vigilância e boas práticas, é possível conter o dano antes que ele se torne um desastre financeiro e reputacional.

Fonte: BleepingComputer