O Brasil figura entre os três países mais afetados por uma nova e sofisticada campanha de malware que tem como alvo direto o ecossistema de desenvolvimento de software. Batizado de Shai-Hulud 2.0, o ataque representa uma evolução perigosa de worms digitais, explorando a confiança em bibliotecas open source para se propagar de forma autônoma e em larga escala.
De acordo com dados da Kaspersky, parceira Brasiline, 9,7% dos mais de 1.700 ataques bloqueados desde setembro atingiram usuários no Brasil, colocando o país atrás apenas da Rússia e da Índia. O vetor principal da infecção são pacotes comprometidos no npm (Node Package Manager), o maior repositório de bibliotecas JavaScript do mundo, com mais de 800 pacotes já infectados.
O Shai-Hulud 2.0 é um malware do tipo worm, projetado para se replicar automaticamente dentro de ambientes de desenvolvimento. A infecção começa quando um desenvolvedor instala um pacote aparentemente legítimo. Durante a instalação, é executado um script chamado setup_bun.js, que se apresenta como um instalador comum do runtime Bun JavaScript, tecnologia real e amplamente utilizada.
O diferencial está na estratégia: o script inicial não é ofuscado, é bem documentado e passa total credibilidade, o que reduz drasticamente a desconfiança. Após instalar o Bun a partir de fontes oficiais, o malware avança para o segundo estágio.
Com o ambiente preparado, o Shai-Hulud 2.0 executa o arquivo bun_environment.js, um script de aproximadamente 10 MB, fortemente ofuscado. A partir daí, inicia-se uma varredura agressiva em busca de informações sensíveis, incluindo:
Para ampliar a eficácia, o malware utiliza ferramentas legítimas de segurança, como o TruffleHog, normalmente usadas para identificar vazamentos de credenciais. Isso permite ao atacante encontrar praticamente qualquer segredo armazenado no ambiente da vítima.
Um dos aspectos mais sofisticados do Shai-Hulud 2.0 é o uso do próprio GitHub como infraestrutura de comando e controle. Em vez de enviar dados para servidores externos — o que poderia acionar alertas de segurança — o malware cria repositórios públicos com nomes aleatórios na conta da própria vítima.
Esses repositórios contêm uma descrição específica:
“Sha1-Hulud: The Second Coming.”
É nesse local que credenciais, tokens e dados sensíveis são armazenados. Caso o malware não encontre um token do GitHub localmente, ele busca outros repositórios já comprometidos com essa mesma assinatura e reutiliza credenciais roubadas de vítimas anteriores, formando uma rede interconectada de acessos comprometidos.
O ataque vai além do roubo de credenciais básicas. O Shai-Hulud 2.0 cria branches chamados “shai-hulud” em todos os repositórios aos quais a vítima tem acesso e injeta workflows maliciosos no GitHub Actions.
Esses workflows são acionados automaticamente a cada push no repositório e têm como objetivo coletar segredos armazenados nos pipelines de CI/CD, enviando-os de forma contínua e silenciosa aos atacantes. Trata-se de um comprometimento direto da cadeia de suprimentos de software (Supply Chain Attack).
Com acesso ao token do npm, o malware valida as credenciais e passa a infectar até 100 pacotes mantidos pela vítima — cinco vezes mais do que na versão anterior. O processo inclui:
Esse ciclo cria uma propagação exponencial, afetando desenvolvedores, empresas e ambientes produtivos em todo o mundo.
Um ponto de extrema preocupação é o modo destrutivo do Shai-Hulud 2.0. Caso o malware não encontre credenciais válidas para roubo ou propagação, ele ativa uma carga que apaga arquivos do usuário, especialmente no diretório home, causando perda de dados e impacto operacional direto.
Organizações e desenvolvedores devem estar atentos a indícios como:
Diante desse cenário, as principais medidas recomendadas incluem:
O Shai-Hulud 2.0 reforça um alerta já conhecido, mas ainda subestimado: a cadeia de desenvolvimento de software é hoje um dos alvos mais valiosos para os cibercriminosos. Ataques desse tipo não afetam apenas desenvolvedores individuais, mas podem comprometer ecossistemas inteiros, aplicações corporativas e dados estratégicos.
A adoção de boas práticas de segurança, governança de identidades, monitoramento contínuo e soluções especializadas em proteção de ambientes de desenvolvimento é essencial para reduzir riscos e evitar impactos severos ao negócio.
Acompanhe os boletins de cibersegurança da Brasiline Tecnologia para se manter informado sobre os mais recentes ataques, tendências e estratégias de proteção digital. Com nossas análises especializadas, você estará sempre à frente das ameaças que podem comprometer a segurança da sua empresa.
Proteja seu futuro digital com conhecimento!
Brasil entre os principais alvos do malware Shai-Hulud 2.0: alerta crítico para cadeias de desenvolvimento
Cibercrime em Evolução: Operações Avançadas Combinam Espionagem, IA e Exploits Inéditos
Como a Automação de Identidades Está Redefinindo a Segurança Corporativa