Uma campanha sofisticada em que agentes de ameaças se passaram por uma aceleradora de capital de risco Web3 para atingir startups, desenvolvedores e fundadores de criptomoedas com créditos gratuitos do Claude e do Gemini, ferramentas de programação com inteligência artificial (IA) e auditorias de segurança de contratos inteligentes.
Os criminosos afirmaram apoiar mais de 200 projetos do portfólio e ter captado mais de US$ 124 milhões, enquanto promoviam avaliações de fundadores, auditorias de segurança, vagas de emprego e mensagens diretas de relações com investidores.
Por trás da fachada, contudo, o grupo distribuiu pacotes npm (gerenciador de pacotes do Node.js) maliciosos, projetados para instalar backdoors no macOS e programas de roubo de informações (infostealers) no Windows.
A Elastic identificou dois pacotes, @apexacc/cli e @apexacc/audit, que anunciavam um assistente de programação com IA e um conjunto de auditoria Web3 baseado em MCP (Model Context Protocol, protocolo de contexto de modelo).
Em vez de oferecer serviços legítimos, os pacotes baixavam executáveis específicos para cada plataforma, contatavam infraestrutura controlada pelos atacantes e executavam comandos selecionados remotamente.
A Elastic constatou que 1.351 de 1.363 arquivos comparados correspondiam ao projeto original, enquanto os atacantes acrescentaram um componente de inicialização que redirecionava o tráfego de modelos identificados como OpenRouter por meio de infraestrutura controlada pela Apex.
Isso dava aos operadores acesso potencial a prompts, históricos de conversa, trechos de código e saídas de ferramentas enviados pelo assistente de IA.
O projeto Oh My Pi, legítimo, é um agente de programação multiprovedor real, o que tornava seu uso indevido especialmente eficaz como disfarce para o fork malicioso.
O cliente modificado também registrava de forma persistente um servidor MCP controlado pelos atacantes.
Servidores MCP podem expor ferramentas e instruções a clientes de IA; neste caso, o servidor remoto podia fornecer descrições de ferramentas e instruções de prompt controladas pelos atacantes.
A Elastic alertou que o mecanismo ampliou a superfície de controle da campanha, permitindo que os atores observassem solicitações de LLM (modelo de linguagem de grande porte) e potencialmente influenciassem o uso subsequente de ferramentas.
Um teste do suposto recurso de pontuação de investimentos do serviço revelou mais um engano. A Elastic enviou um projeto fictício, sem repositório, dados de equipe, endereço de contrato ou informações de mercado.
O serviço ainda assim retornou uma “Apex Score” de 51/100 em cinco categorias, reconhecendo ao mesmo tempo que seu sistema de pontuação por IA estava indisponível. Os investigadores avaliaram que a pontuação uniforme provavelmente era um resultado fabricado de preenchimento.
O pacote @apexacc/audit, à parte, alegava oferecer 18 funções de testes de segurança Web3, incluindo auditoria de contratos inteligentes, análise de honeypots e avaliação de risco de tokens.
A Elastic Security Labs afirmou que a operação, batizada como Apex Arena e Apex, usava uma presença pública refinada, avaliações falsas, serviços no estilo de investidores e convites para eventos para parecer confiável.
Falsa aceleradora Web3
A Elastic determinou que todas as funções publicadas retornavam resultados fixos, aleatórios ou derivados da data, em vez de executar as varreduras anunciadas.
O pacote @apexacc/cli reempacotava o Oh My Pi, um agente de programação de código aberto legítimo, para dar aparência de funcionalidade à ferramenta.
Por exemplo, a função audit_full_contract retornava um relatório fixo afirmando que o Slither havia analisado 847 linhas de código, enquanto audit_honeypot sempre concluía que um token não era um honeypot.
Outra ferramenta gerava pontuações de risco aleatórias entre 55 e 94, o que significava que só podia produzir veredictos “SAFE” ou “WARN” e nunca uma classificação de perigo.
No macOS, a campanha usava um verificador baseado em Rust para contatar vrf.apexaccs[.]org, obter um comando escolhido pelo servidor e baixar um instalador vinculado à família de malware CloudSyncD.
O CloudSyncD solicita a senha de administrador por meio de uma caixa de autorização fraudulenta, coleta informações do host e contata um servidor de comando e controle (C2) para tarefas subsequentes.
A Jamf já havia documentado o CloudSyncD como um backdoor de duas etapas para macOS, disfarçado de instalador legítimo.
Ele usa um falso prompt de senha, reconhecimento do sistema e comunicação criptografada de comando e controle, demonstrando a capacidade da campanha de transformar uma isca baseada em ferramenta de desenvolvedor em acesso persistente ao dispositivo.
No Windows, os pacotes npm recuperavam comandos PowerShell do mesmo endpoint de verificação. A cadeia de execução usava VBScript (Visual Basic Script) e etapas de preparação em PowerShell antes de entregar um stealer de múltiplas etapas.
Componentes posteriores tentavam elevação de privilégios, verificações contra máquinas virtuais, desvinculação (unhooking) da ntdll.dll, adulteração do AMSI (Interface de Varredura Antimalware) e do ETW (Rastreamento de Eventos para Windows), além de execução de shellcode em memória. O stealer final comprimia os dados coletados e os exfiltrava pelo Telegram.
A campanha ilustra como a confiança pode ser fabricada por meio de sites gerados por IA, ferramentas de código aberto clonadas, avaliações falsas de clientes, referências a conferências e marcas de investidores realistas.
Os atacantes não dependeram de um simples e-mail de phishing; construíram um ecossistema destinado a atrair alvos Web3 de alto valor, que podem guardar carteiras de criptomoedas, chaves de assinatura, credenciais de nuvem, código-fonte e tokens de API (interface de programação de aplicações).
Relatos anteriores sobre infraestrutura Apex relacionada também documentaram pacotes npm maliciosos que usavam iscas de créditos gratuitos de LLMs e ferramentas de programação reempacotadas para implantar um malware de roubo de credenciais no macOS.
A atividade mostrou que a remoção dos pacotes sozinha pode não encerrar a operação, pois os operadores podem republicá-los com um novo nome, mantendo os mesmos repositórios, binários e infraestrutura de comando e controle.
As organizações devem bloquear os nomes de pacotes e domínios associados identificados, revisar a telemetria de endpoints em busca de execuções a partir de ferramentas suspeitas instaladas via npm e rotacionar credenciais, chaves de API, tokens de nuvem e segredos de carteiras caso os pacotes tenham sido executados.
Desenvolvedores devem evitar instalar ferramentas de IA, MCP ou de auditoria de segurança apenas com base em prova social, créditos gratuitos de modelos ou branding de projeto sofisticado, especialmente quando os pacotes baixam binários em tempo de execução ou direcionam o tráfego de LLMs por endpoints de terceiros.
IOCs (indicadores de comprometimento)
Observação: endereços IP (Internet Protocol) e domínios estão intencionalmente desfigurados (por exemplo, [.]) para evitar resolução ou criação de links acidentais. Refaça a conversão apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM (gerenciamento de informações e eventos de segurança).
Interrompa ameaças cibernéticas antes do impacto, com 21 minutos a menos de MTTR (tempo médio de resposta). Integre o Sandbox da ANYRUN ao seu SOC (centro de operações de segurança).
