Sem vulnerabilidades, ainda assim comprometido — a realidade dos ataques “baseados em confiança” contra desenvolvedores open source
(cybersecuritynews.com)Desenvolvedores open source estão enfrentando um novo tipo de ameaça. Não se trata de exploits complexos ou vulnerabilidades zero-day, mas de um ataque de engenharia social que usa como arma a própria "confiança" da comunidade de desenvolvedores.
Atualmente, invasores estão conduzindo uma campanha no Slack em que se passam por uma pessoa real da Linux Foundation para induzir a instalação de arquivos maliciosos.
Como o incidente aconteceu
Esse ataque foi divulgado pela primeira vez em 7 de abril de 2026, quando Christopher "CRob" Robinson, CTO e principal arquiteto de segurança da OpenSSF (Open Source Security Foundation), publicou um alerta de alto risco na lista de e-mails OpenSSF Siren.
O palco do ataque foi o workspace do Slack do TODO Group, um grupo de trabalho ligado à Linux Foundation, e comunidades open source relacionadas. O TODO Group reúne profissionais de OSPO (Open Source Program Office).
Os invasores construíram cuidadosamente uma identidade falsa de um líder conhecido da Linux Foundation e enviaram mensagens diretas no Slack às vítimas com links de phishing hospedados no Google Sites, uma plataforma em que muitos desenvolvedores confiam.
A equipe de análise da Socket.dev foi a primeira a investigar esse ataque e documentar seu funcionamento técnico. A investigação confirmou que não se tratava de uma simples tentativa de phishing, mas de uma operação em múltiplas etapas projetada para explorar a confiança profunda que se forma naturalmente dentro da comunidade open source.
A isca: "Você pode saber antes se seu PR vai ser mergeado"
A mensagem dos invasores foi elaborada com bastante sofisticação. Fingindo ser um líder da Linux Foundation, o atacante apresentou uma ferramenta proprietária de IA capaz de analisar a dinâmica de projetos open source e prever quais contribuições de código (PRs) seriam mergeadas antes mesmo de um reviewer vê-las.
A mensagem reforçava a escassez ao dizer que "por enquanto está sendo compartilhada apenas com poucas pessoas" e, junto do link de phishing, fornecia um endereço de e-mail falso e uma chave de acesso para fazer o workspace falso parecer legítimo.
Análise do ataque por etapas
O ataque ocorre em 4 etapas:
Etapa 1 — Roubo de identidade (Impersonation)
Clonagem do perfil no Slack de uma pessoa real da Linux Foundation para construir confiança.
Etapa 2 — Phishing
Indução ao clique em um link de phishing hospedado no Google Sites. Uma página falsa, que parece um fluxo normal de autenticação, rouba endereço de e-mail e código de verificação.
Etapa 3 — Coleta de credenciais (Credential Harvesting)
Após roubar as credenciais, o site de phishing induz a vítima a instalar um certificado raiz malicioso disfarçado de "certificado do Google".
Etapa 4 — Entrega de malware (Malware Delivery)
Depois que o certificado raiz é instalado, o atacante passa a conseguir interceptar silenciosamente o tráfego criptografado entre o dispositivo da vítima e todos os sites.
Mecanismo de infecção por plataforma
macOS
Após a instalação do certificado raiz malicioso, um script baixa e executa automaticamente um binário chamado gapi a partir do IP remoto (2.26.97.61). Esse binário concede ao invasor controle total do dispositivo, incluindo acesso a arquivos, roubo adicional de credenciais e execução remota de comandos.
Windows
A instalação do certificado malicioso é induzida por meio de uma caixa de diálogo de confiança do navegador e, depois disso, a interceptação do tráfego criptografado também se torna possível.
Recomendações da OpenSSF
A OpenSSF recomendou o seguinte aos desenvolvedores ativos em comunidades open source no Slack:
- Verificação de identidade fora de banda (out-of-band): não confiar na identidade apenas pelo nome exibido ou pela foto de perfil no Slack; verificar por um canal separado e conhecido
- Recusar pedidos de instalação de certificado raiz: nunca instalar certificados raiz a partir de links enviados por chat ou e-mail. Serviços legítimos não fazem esse tipo de solicitação
- Ativar MFA: isso pode minimizar os danos mesmo que as credenciais sejam roubadas
Implicações
Esse ataque chama atenção por usar como vetor não uma vulnerabilidade técnica, mas a própria estrutura de confiança da comunidade. Em comunidades mais próximas, como o ecossistema open source, é mais fácil que a atenção à segurança diminua diante de nomes familiares e propostas plausíveis.
A isca de "prever com IA se um PR vai ser mergeado" também mostra o grau de sofisticação do ataque, já que pode ser especialmente atraente para desenvolvedores. Diante de links desconhecidos e pedidos para instalar certificados raiz, é preciso criar o hábito de desconfiar mais uma vez, mesmo que a origem pareça confiável.
Este artigo foi traduzido e editado a partir do texto original do Cyber Security News.
3 comentários
Por causa da IA, os hackers estão agindo ainda mais livremente.
TI é escudo e não vence a lança
A IA está sendo uma grande ajuda para os hackers.