Shai-Hulud v2: ataque chega ao Maven e expõe segredos

Shai-Hulud v2 ultrapassou o ecossistema npm e desembarcou no repositório Maven, comprometendo milhares de projetos Java e colocando dados sensíveis em risco.

Da invasão no npm ao salto para o Maven

A segunda onda do ataque de supply chain iniciado no npm já havia injetado mais de 830 pacotes maliciosos na plataforma JavaScript. Agora, a equipe da Socket Research identificou o pacote org.mvnpm:posthog-node:4.18.1 no Maven Central contendo os mesmos dois arquivos usados na campanha original: o setup_bun.js, responsável por carregar o golpe, e o bun_environment.js, que executa o código principal.

Com a manobra, qualquer desenvolvedor Java que instale dependências sem auditoria corre o risco de expor variáveis de ambiente — incluindo chaves de API, credenciais de bancos de dados e tokens de serviços em nuvem. Esse tipo de vazamento compromete diretamente iniciativas de monetização de sites, pois dá ao invasor acesso total a infraestrutura, estatísticas de tráfego e contas de afiliados.

Por que empreendedores digitais devem se preocupar?

Projetos em WordPress costumam integrar componentes JavaScript para otimização de performance ou coleta de dados, além de usar microserviços em Java. Ao herdar uma dependência contaminada, o administrador expõe sua receita de AdSense e programas de afiliados a sequestros ou redirecionamentos indesejados.

Segundo análise da Wired, ataques à cadeia de suprimentos de código aberto crescem em ritmo acelerado, justamente porque aproveitam a confiança implícita em pacotes populares. Para se proteger, especialistas recomendam:

• Auditar bibliotecas com ferramentas de segurança automatizadas;
• Fixar versões seguras no package.json e no pom.xml;
• Armazenar segredos em cofres dedicados, evitando variáveis de ambiente em servidores de produção.

Com a expansão do Shai-Hulud v2, reforçar processos de CI/CD e habilitar alertas de dependabot torna-se essencial para quem monetiza conteúdo online e não pode correr o risco de interrupções ou perda de confiança do usuário. Para acompanhar outras análises sobre ataques que impactam diretamente seu negócio digital, visite nossa seção de Análise de Tecnologia e mantenha seu projeto seguro.

Crédito da imagem: Thehackernews
Fonte: Thehackernews