A revogação do certificado acaba por desencadear uma liquidação física? O worm de espionagem TanStack foi open source, contendo um interruptor de morte irreversível escondido nele

De acordo com o monitoramento Beating, o grupo de hackers TeamPCP, responsável pelo ataque de envenenamento na cadeia de suprimentos npm, abriu o código completo do worm envolvido, Mini Shai-Hulud, sob licença MIT no GitHub. Os profissionais de segurança descobriram no código que esse malware possui uma “chave de morte” embutida; se um desenvolvedor infectado revogar suas credenciais do GitHub ou do serviço em nuvem sem remover completamente os arquivos residuais, o programa malicioso irá imediatamente apagar completamente o diretório principal do computador.

Pesquisadores confirmaram que esse worm instala um processo de vigilância em segundo plano no macOS ou Linux, que verifica a validade das credenciais roubadas a cada minuto. Assim que detectar que as credenciais foram rejeitadas pelo servidor (indicando que o usuário vítima realizou uma rotação de credenciais), o worm imediatamente invoca o comando shred do sistema operacional para destruir de forma irreversível todos os arquivos graváveis no diretório home do usuário atual.

Isso subverte diretamente o fluxo convencional de resposta à segurança: quando uma empresa sofre uma violação de credenciais, a reação padrão costuma ser revogar imediatamente as chaves, mas nesta ataque, essa ação acaba disparando a destruição dos dados locais. Atualmente, o worm foi confirmado em quase 400 versões de mais de 170 pacotes, incluindo TanStack, UiPath e Mistral AI. Após o hacker publicar o código sob a conta PedroTortoriello e zombar da “guerra de envenenamento de código aberto”, um terceiro chegou a enviar um PR para adicionar suporte ao FreeBSD. Atualmente, a Microsoft bloqueou rapidamente essa conta e removeu todos os repositórios e forks no GitHub, mas o código já vazado continua circulando por outros canais.