Cerco norcoreano à cadeia de suprimentos de software: Axios e LiteLLM comprometidos

Uma nova campanha de ciberataque altamente coordenada, atribuída a atores norte-coreanos patrocinados pelo estado, está visando o próprio alicerce do desenvolvimento de software moderno: bibliotecas e ferramentas de código aberto essenciais. Analistas de segurança estão soando o alarme após descobrir um sofisticado ataque à cadeia de suprimentos de software que comprometeu dependências amplamente utilizadas, incluindo a onipresente biblioteca cliente HTTP Axios e o projeto LiteLLM, uma ponte crucial para o desenvolvimento de aplicativos de IA. Este cerco estratégico ao código fundamental representa uma escalada significativa nas táticas de grupos de ameaça estatais, visando o máximo de disrupção e acesso através de um único ponto de falha.

A metodologia da campanha segue um padrão clássico, mas devastadoramente eficaz, de ataque à cadeia de suprimentos. Atores de ameaça, acredita-se que afiliados a grupos de ameaça persistente avançada (APT) como o Lazarus Group ou Kimsuky, obtiveram acesso não autorizado às contas de manutenção ou repositórios desses projetos de código aberto. Ao injetar código malicioso em atualizações legítimas ou publicar versões trojanizadas, eles criaram um pipeline envenenado. Quando desenvolvedores integraram sem saber essas atualizações comprometidas em seus aplicativos, as cargas maliciosas foram implantadas em milhares de produtos e serviços downstream.

A escolha dos alvos é particularmente insidiosa. O Axios é uma biblioteca fundamental para fazer requisições HTTP em aplicativos JavaScript e Node.js, usada por milhões de projetos em toda a web. Seu comprometimento oferece aos atacantes uma posição de vantagem pervasiva. O LiteLLM, embora mais novo, é uma peça de infraestrutura crítica para o setor de IA em expansão. Ele fornece uma interface unificada para chamar vários modelos de linguagem grande (LLMs) da OpenAI, Anthropic, Cohere e outros. Uma violação aqui não apenas compromete dados; potencialmente intercepta e manipula processos dirigidos por IA, consultas e dados sensíveis enviados para esses modelos.

O impacto no mundo real já está se materializando. A startup de IA Mercor divulgou publicamente que foi atingida por um ciberataque diretamente ligado ao comprometimento do projeto de código aberto LiteLLM. Isso confirma que o código malicioso transitou de uma ameaça potencial para um incidente ativo, levando a violações de dados e comprometimentos de sistemas. Embora a escala total do comprometimento do Axios ainda esteja sendo avaliada, seu uso difundido significa que o raio de explosão potencial é global, afetando plataformas SaaS, aplicativos corporativos e serviços web.

Este incidente ressalta várias tendências críticas no panorama da cibersegurança. Primeiro, atores estatais estão mudando cada vez mais o foco de ataques diretos a alvos bem defendidos para alvos mais fáceis e impactantes na cadeia de suprimentos. O retorno sobre o investimento é maior: comprometer uma biblioteca pode infectar milhares de organizações simultaneamente. Segundo, o ecossistema de código aberto, construído sobre confiança e manutenção voluntária, é singularmente vulnerável a tais ataques. Mantenedores geralmente estão sobrecarregados e com recursos insuficientes, tornando suas contas alvos atraentes para tomada de controle.

Para as comunidades de cibersegurança e desenvolvimento, a resposta deve ser rápida e multifacetada. Todas as organizações que usam Axios, LiteLLM ou dependências semelhantes devem verificar imediatamente a integridade das versões que estão usando, atualizar para versões limpas confirmadas e realizar auditorias completas de seus sistemas em busca de indicadores de comprometimento (IOCs). As equipes de segurança devem monitorar tráfego de rede anômalo originado em seus aplicativos, pois esses pacotes frequentemente facilitam a exfiltração de dados. Daqui para frente, este evento é um lembrete severo da necessidade de práticas robustas de lista de materiais de software (SBOM), controles mais rígidos sobre os pipelines de CI/CD e maior investimento na segurança do software de código aberto do qual o mundo digital depende.