Um ataque sofisticado à cadeia de suprimentos do ecossistema npm foi descoberto, envolvendo um pacote malicioso chamado js-logger-pack que evoluiu para um loader de malware multiplataforma. Observado pela primeira vez no início de abril de 2026, o pacote passou por 29 versões incrementais, transformando-se de uma utilidade de registro aparentemente benigna em um ladrão de informações completo e acesso remoto.
Detalhes Técnicos
O pacote malicioso js-logger-pack foi encontrado no ecossistema npm.
Evoluiu através de 29 versões, tornando-se um loader de malware multiplataforma.
Primeiramente observado no início de abril de 2026.
Transformou-se de uma ferramenta de registro para um ladrão de informações e remote access tool.
Utiliza Hugging Face para roubo de dados de forma stealthy.
Recomendações
Verificar dependências npm para presença do pacote js-logger-pack.
Atualizar imediatamente as dependências para evitar exploração.
Monitorar atividades suspeitas relacionadas a Hugging Face.
