Um pacote amplamente utilizado para comunicação entre sites e aplicativos foi contaminado por código malicioso, segundo investigação de empresas de segurança. O Axios, distribuído via npm e com cerca de 400 milhões de downloads por mês, inclui usuários no Brasil e alimenta rotinas comuns de desenvolvedores. A ameaça se mostrou ainda mais perigosa porque parte do ataque aproveitou um módulo que executa rotinas sem instalação explícita no sistema, tornando a detecção mais difícil.

A Socket, empresa de cibersegurança que identificou a anomalia, relata que o código malicioso agia como um cavalo de troia de acesso remoto, capaz de executar comandos e capturar dados nos aparelhos comprometidos. Os mantenedores do Axios afirmaram ter removido as versões afetadas do site oficial e de repositórios como o GitHub e seguem investigando a origem e o alcance da invasão.

Segundo a empresa de segurança, o pacote tinha um trojan que permitia acesso remoto, execução de comandos e roubo de dados.

A sequência identificada pelas equipes de segurança mostra publicação de uma versão limpa do pacote auxiliar plain-crypto-js às 02:59, seguida de uma versão infectada do mesmo componente às 20:59. Minutos depois, às 21:00, releases do Axios (1.14.1 e 0.30.4) foram divulgadas já com o código malicioso incorporado; o sistema de segurança detectou o problema às 21:05, seis minutos após a ativação do vetor.

Ainda não há estimativa precisa de quantas máquinas foram afetadas, mas a prática comum de manter dependências em modo de atualização automática amplia o risco de instalação involuntária do malware. A orientação técnica é atualizar para as versões consideradas seguras — 1.14.0 e 0.30.3 — e, caso a invasão seja confirmada, trocar senhas e chaves de acesso e reinstalar o ambiente de desenvolvimento.

Além do impacto técnico imediato, o episódio força um debate sobre a governança e a segurança da cadeia de suprimentos de software open source. Organizações que dependem de bibliotecas externas enfrentam custo operacional para auditoria, resposta e restauração, e os incidentes desse tipo pressionam por práticas mais rígidas de controle de versões, revisão de dependências e ferramentas automatizadas de verificação.

Especialistas recomendam atualizar para as versões 1.14.0 ou 0.30.3 e trocar senhas e chaves de acesso caso a máquina tenha sido comprometida.