Pesquisadores de cibersegurança identificaram um malware em Go distribuído por dois provedores Terraform e dois módulos Go. É o primeiro caso documentado do registro da HashiCorp usado para distribuir código malicioso, um caminho direto até credenciais de produção.
Os provedores são o gocommunity-io/dockerd, com 222 downloads, e o kreuzwenker/docker, com 1.449. Os módulos correspondentes são o gocommunity.io/orderedbtree e o gogets.dev/btreex, todos imitando nomes de projetos legítimos.
A entrada não começa no registro. Os operadores abordam desenvolvedores no LinkedIn, no Facebook e em fóruns de emprego com perfis de empresas Web3 fictícias, e entregam repositórios de aparência inofensiva cujo comportamento malicioso chega por dependências de npm ou PyPI.
Uma vez executado, o malware levanta atributos de hardware, dados do sistema operacional, nome do host e disponibilidade do nó, e envia o conjunto para infraestrutura dos atacantes antes de aguardar instruções.
O comando e controle usa dois canais. Um consulta um canal do Slack a cada dez segundos em busca de pacotes que iniciam, alimentam e encerram transferências de arquivos. O outro lê comandos cifrados em contratos na testnet Sepolia do Ethereum a cada três segundos, executando o que recebe como Go ou JavaScript.
Cada cliente gera um par de chaves efêmeras e o combina com a chave pública do operador, de modo que uma máquina infectada não leia mensagens destinadas a outra. O código coincide com o Graphalgo, campanha documentada pela ReversingLabs em fevereiro de 2026 e atribuída a atores norte-coreanos em abril.
