o código aberto foi concebido para fomentar a colaboração, mas acabou, inadvertidamente, abrindo espaço para atividades maliciosas. durante o monitoramento rotineiro, a equipe de segurança da ox descobriu que o shai-hulud, um worm gerado por ia já excluído, porém amplamente disseminado, está sendo rapidamente reaproveitado por atacantes — seu código original permanece praticamente inalterado, com apenas o endereço do servidor de comando e controle (c2) substituído antes de ser diretamente empacotado e publicado no registro do npm. a equipe identificou quatro novos pacotes maliciosos recém‑aparecidos, entre os quais o @chalk-template incorpora explicitamente toda a lógica do worm, servindo como carga útil central nessa onda de ataques.
esse worm foi originalmente lançado pelo teampcp, um grupo especializado em ataques à cadeia de suprimentos do npm, e recebeu o nome do gigantesco verme de areia de “duna”, simbolizando sua natureza furtiva e sua rápida propagação. embora a microsoft tenha posteriormente removido os repositórios correspondentes, o código já havia se infiltrado em ecossistemas underground. agora, o mesmo autor, @deadcode09284814, carregou sequencialmente quatro pacotes maliciosos disfarçados:
@chalk-template (cerca de 800 downloads)
@axios-util (aproximadamente 300 downloads, imitando a conhecida biblioteca axios)
@axois-util (cerca de 900 downloads, com grafia enganosamente semelhante)
@color-style-utils (em torno de 900 downloads)
É notável que, apesar de terem sido publicados pela mesma pessoa, cada pacote carrega cargas maliciosas distintas; apenas o @chalk-template reutiliza toda a funcionalidade central do shai-hulud, projetada especificamente para roubar credenciais locais de desenvolvedores e explorar permissões legítimas em movimentos laterais. essa abordagem “plug and play” reduz drasticamente a barreira técnica — não é necessário engenharia reversa nem desenvolvimento personalizado; basta substituir o endereço do c2 para implantar um framework maduro de worms. À medida que mais projetos maliciosos de código aberto continuam a vazar, padrões de ataque de baixa complexidade e altamente reutilizáveis podem tornar-se comuns, e variantes do shai-hulud poderão permanecer ativas nas sombras da cadeia de suprimentos de software por um futuro previsível.
