NPM
Pacotes npm maliciosos roubam credenciais de desenvolvedores em múltiplas plataformas
Lisa Kern Imagem gerada por IA
Dez pacotes npm com erros de digitação intencionais, carregados em 4 de julho de 2025, foram encontrados baixando um infostealer que visa dados sensíveis em sistemas Windows, Linux e macOS. Esses pacotes, que imitam bibliotecas populares, evadiram a detecção por meio de múltiplas camadas de ofuscação e acumularam quase 10.000 downloads. A empresa de cibersegurança Socket relatou a ameaça, observando que os pacotes ainda estão disponíveis no registro.
Pacotes maliciosos sobrecarregam NPM com mais de 86.000 downloads
A empresa de segurança Koi descobriu uma campanha chamada PhantomRaven que inundou o registro NPM com 126 pacotes maliciosos desde agosto. Esses pacotes, baixados mais de 86.000 vezes, exploram um recurso que permite dependências não verificadas de sites não confiáveis. No final de outubro de 2025, cerca de 80 dos pacotes ainda estavam disponíveis.