Sete pacotes npm maliciosos do Vite usam a blockchain como canal de C2 para entregar um RAT

Sete pacotes npm typosquattados em torno de Vite escondem seu endereço de comando em uma transação de blockchain - um canal C2 quase impossível de ser cortado.

Fatos

The Hacker News relata em 17 de julho de 2026 a descoberta de sete pacotes npm maliciosos fazendo typosquatting no ecossistema Vite (o bundler front-end concorrente do Webpack). Os pacotes entregam um RAT - Remote Access Trojan - cuja originalidade está no canal de comando e controle: o endereço do servidor C2 é codificado em uma transação blockchain, não embutido no código.

• Vetor: npm install de um pacote legítimo… com uma letra a mais ou a menos (typosquatting).
• Payload: RAT com persistência.
• C2: resolução via leitura de uma transação on-chain (blockchain pública).
• Alvo: desenvolvedores front-end que usam Vite.

Quem é impactado

Qualquer desenvolvedor ou equipe front-end que faça npm install sem verificar minuciosamente os nomes dos pacotes. O Vite é amplamente adotado (React, Vue, Svelte, SolidJS o utilizam como dev server por padrão), então a população-alvo é enorme. Os pipelines CI/CD também estão na linha de frente: um único pacote malicioso puxado por um runner Jenkins ou GitHub Actions é suficiente para comprometer a cadeia de build.

Análise

O verdadeiro problema aqui não é o typosquatting — técnica conhecida desde os primórdios do npm e observada regularmente. O problema é o C2 via blockchain. Concretamente:

1. O atacante grava o endereço IP/domínio do seu C2 no campo de memo de uma transação Ethereum, Solana ou equivalente.
2. O malware, uma vez instalado, lê essa transação via um nó público gratuito (Infura, Alchemy).
3. Ele extrai o endereço e se conecta ao verdadeiro C2.

A vantagem para o atacante: não é possível fazer sinkhole da transação. Ela é imutável, distribuída e só pode ser censurada bloqueando toda a blockchain pública. Acabou a remoção do domínio C2 pelo hoster ou pelo registrador. Essa técnica não é nova em absoluto (variações existem desde 2018 no Bitcoin), mas ainda é rara na prática e sua aparição no npm sinaliza uma profissionalização contínua dos atores de supply-chain.

Do lado da defesa, a solução permanece a mesma de sempre para qualquer comprometimento no npm: auditoria, bloqueio de dependências, revisão dos scripts de instalação.

O que fazer agora

• Auditar os package-lock.json recentes: procurar por pacotes instalados nos últimos 30 dias e comparar os nomes com a lista oficial do Vite (vitejs.dev). Nomes suspeitos (maiúsculas exóticas, traços, homógrafos) → suspeita.
• Bloquear scripts de instalação por padrão: npm config set ignore-scripts true nos ambientes de CI (compromisso de usabilidade, mas ganho massivo em segurança).
• Usar um registry proxy com allowlist (Sonatype Nexus, JFrog Artifactory, Verdaccio).
• Monitoramento de rede: um pacote front-end que abre uma conexão externa para um nó RPC de blockchain já é um sinal.
• Aguardar a lista oficial dos 7 pacotes (a ser confirmada via advisory da Snyk/Socket/GitHub — ver fontes).

O que ainda precisa ser confirmado

Os nomes exatos dos sete pacotes com typosquatting, a blockchain usada para o C2, a família do RAT e a extensão dos downloads antes da remoção pelos mantenedores do npm não estão detalhados na fonte citada. Atualizaremos assim que o advisory da Socket ou GitHub Security for publicado.