Um domínio registrado como corepack.org se passou pela ferramenta oficial Corepack, usada para gerenciar gerenciadores de pacotes como Yarn e pnpm no ecossistema Node.js.
Ao pesquisar sobre como obter o Corepack, o usuário encontrava o site clandestino no topo da ferramenta de busca, que estava no ar desde o início de 2026. Ao clicar no botão disponível na tela inicial, um arquivo com código malicioso era baixado, disfarçando-se de um instalador de uma VPN gratuita para Windows.
Uma vez que o desenvolvedor executa o instalador da suposta VPN, o computador é infectado por um infostealer, um tipo de malware que age de forma oculta e realiza roubo de credenciais, chaves privadas SSH (usadas para autenticação em servidores e repositórios de código) e executa comandos via PowerShell na máquina.
A ferramenta Corepack não possui um site oficial próprio para o download de executáveis, uma vez que já vem pré-instalada nas versões suportadas do Node.js e exige apenas a ativação direta via terminal.
.png?width=762&height=508&name=image%20(1).png)
Além do roubo de informações, o instalador secretamente cadastra a máquina em uma rede de compartilhamento de banda para tráfego de raspagem de dados (data-scraping) de terceiros, transformando o computador em um "nó de saída de proxy". A prática de sequestrar a internet alheia é conhecida como proxyjacking.
O falso arquivo disfarçado de VPN gerava ainda uma corrente de redirecionamento de anúncios que simula uma tela com a mensagem "Seu download está pronto" e baixa o arquivo OperaGXSetup.exe no computador.
Esse fluxo secundário que foca na distribuição enganosa de softwares indesejados é conhecido como adware e serve para gerar lucros de afiliados por meio de anúncios.
Contribuidores do Node.js abriram uma denúncia sobre o domínio em março de 2026, quando a página ainda era apenas um conteúdo informativo desatualizado, sem arquivos para download.
A questão foi fechada como fora do escopo do projeto na época, no entanto, com o início da distribuição ativa de executáveis, próximo à data de publicação do relatório da Socket, o registro foi reaberto e a denúncia do domínio foi formalizada.
O que é Node.js?
O Node.js é um ambiente de execução baseado no motor V8 do Google Chrome, que permite rodar código JavaScript fora do navegador, transformando o JavaScript em uma ferramenta completa para criar o lado do servidor (backend) de aplicações web e sistemas.
O que é Corepack?
O Corepack é uma ferramenta mantida pelo projeto Node.js criada para gerenciar os próprios gerenciadores de pacotes, especificamente o Yarn e o pnpm. Ele já vem embutido junto com o Node.js em distribuições modernas e não possui um instalador próprio (.exe ou .msi) nem um site separado para download.
Como funciona o falso instalador de VPN e quais são os seus riscos?
Trata-se de um arquivo malicioso apresentado como uma VPN sem custo, mas que não tem relação alguma. Ao ser executado, ele implanta o software OpenShield junto com um componente de persistência chamado Apprunner. A análise dinâmica da carga identificou:
- Acesso a dados de perfis de navegadores e a chaves SSH armazenadas;
- Descoberta de processos e hosts na rede local;
- Execução de comandos via PowerShell e prompt de comando;
- Criação de chaves de registro para manter o malware ativo após reinicializações do sistema.
O componente OpenShield também matricula o computador infectado em uma rede de compartilhamento de banda usada para tráfego de raspagem de dados de terceiros, prática conhecida como proxyjacking. A máquina passa a funcionar como nó de saída de proxy sem que o usuário tenha qualquer visibilidade sobre o tráfego que passa pela sua conexão.
Outro fluxo de clique no mesmo domínio leva a uma página de download alternativa e entrega o arquivo OperaGXSetup.exe, levando à instalação de adware por meio de links afiliados, com comportamento também classificado como atividade de trojan.
Como sei se minha máquina foi infectada pelo instalador falso do Corepack?
Para saber se sua máquina foi infectada pelo arquivo com código malicioso, é importante observar os seguintes comportamentos do sistema:
- Consumo de internet fora do padrão ou lentidão de rede persistente;
- Chaves de registro novas configurando inicialização automática do malware;
- Execução de PowerShell ou prompt de comando sem ação direta do usuário.
De maneira avançada, os times de infraestrutura e segurança podem verificar os seguintes indicadores de comprometimento:
A presença dos seguintes arquivos e programas:
- vpnsetup_d9gfqvs3dsic73fcvi90.exe
- OperaGXSetup.exe
- Presença do software OpenShield ou do componente Apprunner
A presença dos seguintes domínios de phishing e entrega de carga maliciosa:
- corepack[.]org
- openshield[.]canatrace[.]com/download-free-can/
- freevpn[.]win/lps/gbox-lp/index[.]html
- moonlighthathel[.]org, aifpleasurebeh[.]org, ghabovethec[.]info
- ukankingwithea[.]com, beadpie[.]xyz, yakteam[.]xyz, nostop[.]go2cloud[.]org
Se algum dos arquivos ou domínios acima forem encontrados na máquina, é importante investigar se há vazamentos de credenciais no navegador, comprometimento de chaves privadas SSH e conexões ativas com a rede de proxyjacking.
Nesses casos, o dispositivo deve ser isolado imediatamente da rede, todas as senhas e chaves de acesso associadas à máquina devem ser revogadas e o sistema deve passar por uma formatação para garantir a eliminação de componentes de persistência.
Casos como o do falso Corepack mostram que o elo mais frágil de uma operação de TI pode estar na máquina de um único desenvolvedor ou colaborador buscando uma ferramenta comum.
Um infostealer que captura chaves SSH tem potencial para abrir caminho até ambientes de produção, e um proxyware que consome banda e expõe a empresa a tráfego de terceiros sem qualquer controle.
Empresas que mantêm parte da operação hospedada no data center da HostDime Brasil contam com monitoramento de rede operando em regime integral, o que reduz o tempo entre a entrada de uma ameaça e sua identificação.
A combinação de serviços de cibersegurança com políticas de segmentação de rede e resposta a incidentes ajuda a conter o avanço de um infostealer antes que ele alcance credenciais de sistemas críticos.
A recuperação após um incidente também depende de rotina de backup testada e mantida fora do ambiente comprometido. Empresas que utilizam os serviços de backup e disaster recovery da HostDime Brasil têm um caminho definido para restaurar sistemas sem depender exclusivamente da limpeza manual de uma máquina infectada.
Operar com infraestrutura própria em território nacional, sob Tier III, ainda traz vantagem adicional de latência e de aderência à LGPD para empresas que precisam demonstrar controle sobre onde os dados circulam e são processados.
