O script de instalação se conectava a uma infraestrutura controlada pelos invasores e baixava um trojan de acesso remoto (RAT) específico para Windows, macOS ou Linux. Assim, uma instalação rotineira de pacote podia se tornar o primeiro passo de um comprometimento mais amplo.

As versões afetadas ficaram disponíveis por aproximadamente três horas. O Google Threat Intelligence Group registrou atividade entre 0h21 e 3h20, no horário UTC, em 31 de março; outros relatos descrevem uma janela semelhante, de duas a três horas. O Axios é uma dependência de grande alcance: diferentes relatórios estimam entre cerca de 80 milhões e mais de 100 milhões de downloads semanais no npm, embora os números variem conforme a fonte.

Como a conta do mantenedor foi explorada

Os relatos públicos mais consistentes apontam para a tomada da conta do npm, e não para uma falha intrínseca no Axios. Um relatório afirma que os invasores usaram um token de acesso de longa duração pertencente ao principal mantenedor; outras análises descrevem o caso de maneira mais geral, como o comprometimento da conta ou das credenciais de publicação.

A distinção é importante. O ataque atravessou a fronteira de confiança entre a autoridade de publicação do mantenedor e o processo de lançamento do npm. Como os pacotes foram publicados por uma conta legítima, desenvolvedores e sistemas automatizados tinham menos motivos para considerá-los suspeitos.

O que a dependência maliciosa fazia

A plain-crypto-js@4.2.1 foi apresentada como uma dependência comum, mas existia para executar um script postinstall. Esse script contatava um servidor de comando e controle e obtinha uma segunda etapa da carga maliciosa adaptada ao sistema operacional do computador.

Portanto, o ataque não exigia que o desenvolvedor baixasse um executável obviamente suspeito. O gatilho podia ser uma atualização comum de dependência, uma compilação de CI ou um npm install automatizado executado durante o período de exposição. Os alertas de segurança recomendam tratar como potencialmente comprometidos os sistemas que instalaram qualquer uma das duas versões afetadas do Axios.

O BlueNoroff foi responsável?

A atribuição não está fechada no material disponível. Alguns relatos associam a operação a atores ligados à Coreia do Norte, incluindo o BlueNoroff ou grupos relacionados, enquanto a Microsoft atribuiu o comprometimento ao Sapphire Sleet.

Essas avaliações não devem ser apresentadas como uma única conclusão confirmada. Semelhanças de código, infraestrutura e métodos operacionais podem oferecer uma pista de atribuição, mas não provam, sozinhas, qual grupo realizou o ataque. A conclusão mais segura é que o comprometimento do Axios envolveu uma conta de mantenedor sequestrada, versões contaminadas e um RAT multiplataforma; a identidade do responsável continua sendo objeto de avaliações divergentes.

Como o SilverFox usou aplicativos falsos do Claude

O SilverFox seguiu outro caminho para entrar nas organizações: distribuiu aplicativos falsificados do Claude para Windows, macOS e Linux. A campanha mirou empresas dos setores industrial, de consultoria, comércio e transporte na Índia, Indonésia, África do Sul e Rússia.

Os aplicativos falsos imitavam a marca Claude, da Anthropic, mas não eram instaladores legítimos. A eficácia dependia de um cenário de trabalho convincente: um funcionário procura uma ferramenta de produtividade baseada em IA, baixa o que parece ser um aplicativo conhecido e instala malware no lugar. Relatos da Kaspersky descrevem a operação como parte da atividade do SilverFox observada em várias ondas desde dezembro de 2025.

Do phishing com tema tributário às iscas de IA

A campanha também aproveitou uma sequência anterior de phishing com tema tributário. Em janeiro e fevereiro de 2026, pesquisadores registraram mais de 1.600 e-mails maliciosos que se passavam por notificações oficiais de auditoria fiscal ou diziam conter listas de violações tributárias.

O mecanismo de entrega mudou, mas o sinal de confiança continuou familiar. Notificações fiscais combinam urgência e autoridade; um assistente de IA com marca conhecida transmite relevância e conveniência. Em ambos os casos, a estratégia é levar o usuário a abrir um anexo, baixar um arquivo compactado ou instalar um programa antes de verificar sua origem.

O SilverFox usou um modelo de entrega em etapas, com infraestruturas separadas para diferentes fases da invasão. Essa divisão pode dificultar o bloqueio da operação ou a identificação de toda a cadeia de ataque a partir de um único domínio ou indicador.

A lição comum: confiança também faz parte da superfície de ataque

Os incidentes do Axios e do SilverFox exploraram relações de confiança diferentes:

• Confiança no mantenedor: as versões do Axios pareciam ter sido publicadas por um usuário autorizado no npm.
• Confiança na dependência: o gerenciador de pacotes tratou o componente malicioso como parte de uma instalação normal.
• Confiança na marca: os instaladores falsos do Claude aproveitaram a identidade de um produto reconhecido de IA.
• Confiança no fluxo de trabalho: desenvolvedores e funcionários seguiram ações rotineiras, como atualizar dependências ou instalar uma ferramenta de produtividade.

O caso do Axios mostra por que uma janela curta de exposição ainda pode ser perigosa. Instalações de pacotes e tarefas de CI podem ser executadas automaticamente, então o alcance não se limita às pessoas que examinam manualmente uma nova versão. O caso SilverFox revela o mesmo princípio no ambiente dos endpoints: categorias de software que ganham adesão rapidamente oferecem novas iscas plausíveis para os invasores.

O que as organizações devem fazer agora

No caso do Axios, é preciso auditar arquivos de bloqueio, manifestos de pacotes, registros de compilação, caches e inventários de dependências em busca de axios@1.14.1, axios@0.30.4 e plain-crypto-js@4.2.1. Qualquer máquina que tenha instalado uma versão afetada durante a janela de exposição deve ser investigada quanto a cargas baixadas, mecanismos de persistência não autorizados e credenciais expostas. Os comunicados de segurança recomendam tratar as instalações afetadas como potencialmente comprometidas.

Para softwares de IA, as empresas devem exigir que os funcionários obtenham aplicativos para computador por canais aprovados, confirmem o editor e o domínio de download e bloqueiem ou coloquem em quarentena instaladores não autorizados. No processo de publicação do npm, autenticação multifator resistente a phishing, credenciais de curta duração ou com escopo restrito, comprovação de origem dos lançamentos, arquivos de bloqueio e revisão das mudanças em dependências podem reduzir a chance de que uma única conta comprometida se transforme em um incidente de cadeia de fornecimento.

O controle mais amplo é verificar cada fronteira de confiança. Um nome conhecido de pacote não prova que todas as suas versões são seguras; da mesma forma, o nome de uma marca familiar não garante que todo instalador seja genuíno.

O script de instalação se conectava a uma infraestrutura controlada pelos invasores e baixava um trojan de acesso remoto (RAT) específico para Windows, macOS ou Linux. Assim, uma instalação rotineira de pacote podia se tornar o primeiro passo de um comprometimento mais amplo.

As versões afetadas ficaram disponíveis por aproximadamente três horas. O Google Threat Intelligence Group registrou atividade entre 0h21 e 3h20, no horário UTC, em 31 de março; outros relatos descrevem uma janela semelhante, de duas a três horas. O Axios é uma dependência de grande alcance: diferentes relatórios estimam entre cerca de 80 milhões e mais de 100 milhões de downloads semanais no npm, embora os números variem conforme a fonte.

Como a conta do mantenedor foi explorada

Os relatos públicos mais consistentes apontam para a tomada da conta do npm, e não para uma falha intrínseca no Axios. Um relatório afirma que os invasores usaram um token de acesso de longa duração pertencente ao principal mantenedor; outras análises descrevem o caso de maneira mais geral, como o comprometimento da conta ou das credenciais de publicação.

A distinção é importante. O ataque atravessou a fronteira de confiança entre a autoridade de publicação do mantenedor e o processo de lançamento do npm. Como os pacotes foram publicados por uma conta legítima, desenvolvedores e sistemas automatizados tinham menos motivos para considerá-los suspeitos.

O que a dependência maliciosa fazia

A plain-crypto-js@4.2.1 foi apresentada como uma dependência comum, mas existia para executar um script postinstall. Esse script contatava um servidor de comando e controle e obtinha uma segunda etapa da carga maliciosa adaptada ao sistema operacional do computador.

Portanto, o ataque não exigia que o desenvolvedor baixasse um executável obviamente suspeito. O gatilho podia ser uma atualização comum de dependência, uma compilação de CI ou um npm install automatizado executado durante o período de exposição. Os alertas de segurança recomendam tratar como potencialmente comprometidos os sistemas que instalaram qualquer uma das duas versões afetadas do Axios.

O BlueNoroff foi responsável?

A atribuição não está fechada no material disponível. Alguns relatos associam a operação a atores ligados à Coreia do Norte, incluindo o BlueNoroff ou grupos relacionados, enquanto a Microsoft atribuiu o comprometimento ao Sapphire Sleet.

Essas avaliações não devem ser apresentadas como uma única conclusão confirmada. Semelhanças de código, infraestrutura e métodos operacionais podem oferecer uma pista de atribuição, mas não provam, sozinhas, qual grupo realizou o ataque. A conclusão mais segura é que o comprometimento do Axios envolveu uma conta de mantenedor sequestrada, versões contaminadas e um RAT multiplataforma; a identidade do responsável continua sendo objeto de avaliações divergentes.

Como o SilverFox usou aplicativos falsos do Claude

O SilverFox seguiu outro caminho para entrar nas organizações: distribuiu aplicativos falsificados do Claude para Windows, macOS e Linux. A campanha mirou empresas dos setores industrial, de consultoria, comércio e transporte na Índia, Indonésia, África do Sul e Rússia.

Os aplicativos falsos imitavam a marca Claude, da Anthropic, mas não eram instaladores legítimos. A eficácia dependia de um cenário de trabalho convincente: um funcionário procura uma ferramenta de produtividade baseada em IA, baixa o que parece ser um aplicativo conhecido e instala malware no lugar. Relatos da Kaspersky descrevem a operação como parte da atividade do SilverFox observada em várias ondas desde dezembro de 2025.

Do phishing com tema tributário às iscas de IA

A campanha também aproveitou uma sequência anterior de phishing com tema tributário. Em janeiro e fevereiro de 2026, pesquisadores registraram mais de 1.600 e-mails maliciosos que se passavam por notificações oficiais de auditoria fiscal ou diziam conter listas de violações tributárias.

O mecanismo de entrega mudou, mas o sinal de confiança continuou familiar. Notificações fiscais combinam urgência e autoridade; um assistente de IA com marca conhecida transmite relevância e conveniência. Em ambos os casos, a estratégia é levar o usuário a abrir um anexo, baixar um arquivo compactado ou instalar um programa antes de verificar sua origem.

O SilverFox usou um modelo de entrega em etapas, com infraestruturas separadas para diferentes fases da invasão. Essa divisão pode dificultar o bloqueio da operação ou a identificação de toda a cadeia de ataque a partir de um único domínio ou indicador.

A lição comum: confiança também faz parte da superfície de ataque

Os incidentes do Axios e do SilverFox exploraram relações de confiança diferentes:

• Confiança no mantenedor: as versões do Axios pareciam ter sido publicadas por um usuário autorizado no npm.
• Confiança na dependência: o gerenciador de pacotes tratou o componente malicioso como parte de uma instalação normal.
• Confiança na marca: os instaladores falsos do Claude aproveitaram a identidade de um produto reconhecido de IA.
• Confiança no fluxo de trabalho: desenvolvedores e funcionários seguiram ações rotineiras, como atualizar dependências ou instalar uma ferramenta de produtividade.

O caso do Axios mostra por que uma janela curta de exposição ainda pode ser perigosa. Instalações de pacotes e tarefas de CI podem ser executadas automaticamente, então o alcance não se limita às pessoas que examinam manualmente uma nova versão. O caso SilverFox revela o mesmo princípio no ambiente dos endpoints: categorias de software que ganham adesão rapidamente oferecem novas iscas plausíveis para os invasores.

O que as organizações devem fazer agora

No caso do Axios, é preciso auditar arquivos de bloqueio, manifestos de pacotes, registros de compilação, caches e inventários de dependências em busca de axios@1.14.1, axios@0.30.4 e plain-crypto-js@4.2.1. Qualquer máquina que tenha instalado uma versão afetada durante a janela de exposição deve ser investigada quanto a cargas baixadas, mecanismos de persistência não autorizados e credenciais expostas. Os comunicados de segurança recomendam tratar as instalações afetadas como potencialmente comprometidas.

Para softwares de IA, as empresas devem exigir que os funcionários obtenham aplicativos para computador por canais aprovados, confirmem o editor e o domínio de download e bloqueiem ou coloquem em quarentena instaladores não autorizados. No processo de publicação do npm, autenticação multifator resistente a phishing, credenciais de curta duração ou com escopo restrito, comprovação de origem dos lançamentos, arquivos de bloqueio e revisão das mudanças em dependências podem reduzir a chance de que uma única conta comprometida se transforme em um incidente de cadeia de fornecimento.

O controle mais amplo é verificar cada fronteira de confiança. Um nome conhecido de pacote não prova que todas as suas versões são seguras; da mesma forma, o nome de uma marca familiar não garante que todo instalador seja genuíno.