Detecção de Pacotes Maliciosos no npm

Aviso Legal: Analise pacotes em um ambiente isolado e descartável. Alguns pacotes maliciosos executam na instalação (npm install executa scripts de ciclo de vida automaticamente) ou na importação. Nunca analise um pacote suspeito em uma estação de trabalho com credenciais, chaves SSH, tokens de nuvem ou acesso de rede à produção. Esta habilidade é apenas para análise defensiva e resposta a incidentes autorizada.

Visão Geral

O registro npm é o maior ecossistema de pacotes de software do mundo e o mais visado por atacantes da cadeia de suprimentos. Pacotes maliciosos chegam às vítimas por meio de typosquatting (expresss, crossenv), confusão de dependências, tomada de conta/mantenedor (o worm Shai-Hulud de 2025 e a violação event-stream são exemplos canônicos) e starjacking. O perigo definidor do npm é que npm install executa automaticamente preinstall, install e postinstall scripts de ciclo de vida com os privilégios totais do desenvolvedor antes que qualquer código de aplicação seja invocado — então, simplesmente instalar um pacote é o suficiente para ser comprometido. Aproximadamente 2% dos pacotes npm usam scripts de instalação, o que os torna comuns e um poderoso veículo de entrega de malware.

Comportamentos maliciosos típicos são: exfiltração de variáveis de ambiente, tokens ~/.npmrc, chaves SSH e credenciais de nuvem para um URL controlado pelo atacante; abertura de shells reversos; instalação de mineradores de criptomoedas; leitura e postagem de process.env; ofuscação de payloads com base64/eval; e auto-propagação (worming) roubando o token npm do mantenedor e republicando versões trojanizadas de outros pacotes que eles possuem.

Esta habilidade fornece um fluxo de trabalho de triagem repetível centrado no GuardDog (scanner heurístico de código aberto da Datadog construído sobre Semgrep + regras de metadados), complementado por inspeção manual de tarballs, verificações de comprometimento baseadas em lockfile contra listas de versões conhecidas como maliciosas e detonação dinâmica com monitoramento de rede e sistema de arquivos. O objetivo é decidir, de forma rápida e segura, se um determinado pacote ou a árvore de dependências de um projeto contém código malicioso.

Quando Usar

• Triagem de um pacote npm específico antes de adicioná-lo como dependência.
• Verificação de um package.json / package-lock.json completo durante a revisão de código ou integração de uma biblioteca de terceiros.
• Resposta a um aviso de cadeia de suprimentos (por exemplo, uma campanha de worm) e necessidade de verificar se seus lockfiles puxaram uma versão conhecida como maliciosa.
• Investigação de um endpoint ou runner de CI suspeito de ter instalado um pacote trojanizado.
• Construção de um portão de pré-instalação em CI/CD que bloqueia pacotes que exibem indicadores maliciosos.

Pré-requisitos

• Uma VM isolada ou contêiner descartável sem credenciais de produção e capacidade de snapshot/rollback.
• GuardDog:

  pip install guarddog
  # or run via Docker without local install:
  docker pull ghcr.io/datadog/guarddog
  alias guarddog='docker run --rm ghcr.io/datadog/guarddog'
  

• Node.js + npm (use --ignore-scripts ao baixar para análise).
• jq, tar e, opcionalmente, OSV-Scanner para verificações cruzadas de vulnerabilidade conhecida/malicioso conhecido:

  go install github.com/google/osv-scanner/cmd/osv-scanner@v1
  

• Para análise dinâmica: um sandbox com log de saída (por exemplo, tcpdump, um DNS sink ou um namespace de rede).

Objetivos

• Escanear estaticamente um pacote npm (ou uma árvore de dependências inteira) em busca de heurísticas maliciosas sem executá-lo.
• Identificar abuso de script de instalação, exfiltração de ambiente/credenciais, ofuscação e execução silenciosa de processos.
• Cruzar versões fixadas em lockfile com listas de versões conhecidas como maliciosas / OSV.
• Detonar com segurança um pacote suspeito e observar o comportamento de rede e sistema de arquivos.
• Extrair indicadores de comprometimento (URLs, IPs, hashes) para bloqueio e inteligência de ameaças.
• Produzir um veredito defensável (benigno / suspeito / malicioso) com evidências.

Mapeamento MITRE ATT&CK

…