Pesquisadores de segurança identificaram uma nova variante do worm Shai-Hulud, batizada pela Microsoft como ChainDrop, que comprometeu 444 pacotes no registro npm. A ofensiva atingiu dependências de infraestrutura amplamente utilizadas no ecossistema JavaScript, incluindo keyv, flat-cache e cache-manager, componentes que somam cerca de dois bilhões de downloads mensais. O malware se destaca pela capacidade de se propagar em total sigilo ao evitar alterações diretas no código-fonte dos repositórios Git públicos. Em vez disso, a ameaça atua reconstruindo diretamente os arquivos tarball distribuídos no npm, inserindo a carga maliciosa diretamente no pacote final para contornar ferramentas tradicionais de auditoria estática e análise de código aberto. Durante a execução em pipelines de CI/CD ou em máquinas locais, o script realiza uma varredura rigorosa em variáveis de ambiente, em configurações de terminal e na memória em busca de chaves de nuvem e tokens com permissão de escrita. De pos...