miniaturadaimagem|direita|220px|Logotipo associado à LofyGang.
A LofyGang é um grupo de ameaça cibernética de possível origem brasileira, documentado publicamente por pesquisadores de segurança a partir de 2022. O grupo foi associado à publicação de pacotes maliciosos no registro npm, à distribuição de programas destinados à obtenção de informações e a campanhas relacionadas a credenciais, dados financeiros e contas vinculadas a jogos, plataformas de comunicação e serviços de streaming.
A atribuição de possível origem brasileira foi baseada, entre outros elementos, na presença de expressões em português brasileiro e referências ao Brasil nos artefatos analisados. Essa atribuição é apresentada pelas fontes como avaliação dos pesquisadores, não como origem definitivamente comprovada.
Em 2026, atividades adicionais foram atribuídas ao grupo por pesquisadores da JFrog Security Research e por reportagens especializadas. No mesmo ano, o profissional de segurança cibernética Jansen Moreira publicou um documentário no qual afirmou ter acompanhado por várias semanas um servidor do Discord relacionado à LofyGang.
Histórico
Em outubro de 2022, a empresa de segurança de aplicações Checkmarx publicou uma investigação que reuniu diferentes campanhas anteriormente examinadas por pesquisadores de segurança. A empresa relacionou essas atividades a um grupo denominado LofyGang e informou que a operação estaria ativa havia mais de um ano.
A investigação apresentou conexões entre pacotes maliciosos, contas utilizadas na publicação de programas, pseudônimos, repositórios, ferramentas e infraestruturas divulgadas em plataformas públicas e comunidades clandestinas. Partes dessas atividades já haviam sido examinadas separadamente por organizações como Sonatype, Securelist e JFrog.
A Checkmarx informou ter comunicado suas descobertas às equipes de segurança de serviços como GitHub, npm, Replit e Discord. A empresa também criou um sistema de acompanhamento destinado a reunir pacotes e outros elementos relacionados às campanhas investigadas.
Atividades atribuídas
Pacotes maliciosos no npm
Em 2022, a Checkmarx informou ter identificado aproximadamente 200 pacotes maliciosos no registro npm associados à LofyGang. Segundo a investigação, os pacotes somavam milhares de instalações e foram utilizados em campanhas voltadas à obtenção de dados de cartões, credenciais e contas ligadas ao Discord Nitro, jogos e serviços de streaming.
Entre as técnicas observadas estava o typosquatting, no qual pacotes maliciosos recebem nomes semelhantes aos de bibliotecas legítimas. Essa prática pode induzir desenvolvedores a instalar uma biblioteca incorreta ao cometer um erro de digitação ou ao confundir o pacote com outro já conhecido.
Os pesquisadores também relataram o uso de referências enganosas a repositórios populares, prática denominada starjacking. Nessa técnica, o pacote apresenta uma ligação com um repositório legítimo ou popular para transmitir uma aparência de credibilidade que não corresponde à verdadeira origem do código.
Alguns pacotes não continham diretamente todos os componentes maliciosos, mas dependiam de outras bibliotecas responsáveis por introduzir essas funcionalidades. Essa estrutura poderia dificultar a análise, permitir a divisão dos componentes entre diferentes contas e evitar que a remoção de um único pacote interrompesse toda a infraestrutura.
Obtenção de contas e informações
As campanhas atribuídas ao grupo foram descritas como voltadas à obtenção de informações de pagamento, senhas, cookies, tokens de autenticação e contas de serviços digitais. As investigações também relacionaram operadores atribuídos à LofyGang à divulgação de contas comprometidas de serviços como Disney+ e Minecraft em comunidades clandestinas.
Segundo as fontes, contas associadas à operação divulgaram ferramentas em plataformas públicas, repositórios e fóruns relacionados a atividades de invasão. Pesquisadores relataram que algumas dessas ferramentas possuíam componentes ocultos capazes de comprometer os próprios usuários que as executassem.
As pesquisas também descreveram programas destinados especificamente à modificação do cliente do Discord e à obtenção de tokens de autenticação. Outros componentes apresentavam funcionalidades mais amplas, relacionadas à coleta de informações armazenadas em navegadores e no sistema operacional.
Uso de serviços legítimos
Segundo a Checkmarx, as campanhas utilizaram serviços legítimos como parte de sua infraestrutura. Plataformas de desenvolvimento, hospedagem e comunicação poderiam ser empregadas para armazenar componentes, receber informações ou manter canais utilizados pelos programas investigados.
A utilização de serviços conhecidos poderia dificultar o bloqueio das comunicações, uma vez que o tráfego destinado a essas plataformas também é utilizado normalmente por usuários e aplicações legítimas.
Pseudônimos, infraestrutura e identidade
A Checkmarx identificou diferentes contas cujos nomes utilizavam variações de palavras como “lofy”, “life”, “polar”, “panda”, “kakau”, “evil”, “devil” e “vilão”. Segundo os pesquisadores, a repetição desses elementos, juntamente com conexões técnicas entre pacotes, contas, repositórios e infraestruturas, foi considerada durante a atribuição das campanhas à LofyGang.
DyPolarLofy
O pseudônimo DyPolarLofy foi relacionado nas investigações à divulgação de contas comprometidas de serviços como Disney+ e Minecraft e à promoção de ferramentas em comunidades clandestinas.
A presença desse pseudônimo em diferentes contextos foi utilizada pelos pesquisadores como um dos elementos de correlação entre contas, ferramentas e atividades atribuídas ao grupo. A relação técnica não identifica necessariamente a pessoa civil responsável por cada conta.
ConsoleLofy
O pseudônimo ConsoleLofy foi relacionado pela JFrog à publicação de pacotes investigados em 2026, incluindo o pacote undicy-http. A associação foi baseada no nome utilizado pelo publicador, em textos presentes nos arquivos, em elementos escritos em português e em outros artefatos analisados.
Essas evidências representam uma atribuição técnica e não confirmam a identidade civil do operador da conta. Também não demonstram, isoladamente, que uma única pessoa tenha controlado todos os pacotes e pseudônimos associados ao grupo.
AkiraLofy
No documentário de Jansen Moreira, o pseudônimo AkiraLofy foi apresentado como uma das principais contas encontradas durante a investigação. Moreira afirmou ter localizado variações do nome em diferentes serviços e um perfil no GitHub associado a uma organização denominada LofyGang.
Moreira também atribuiu a AkiraLofy a publicação de uma gravação relacionada ao servidor de outra comunidade chamada V9. Segundo o autor, a gravação exibia contas do Discord, tokens, pastas e nomes de arquivos, elementos que teriam orientado as etapas seguintes da investigação.
A relação entre as contas foi apresentada como uma conclusão investigativa de Moreira. O documentário não constitui identificação civil oficial nem decisão judicial sobre a responsabilidade do operador do pseudônimo.
PandaLofy
O pseudônimo PandaLofy foi apresentado no documentário como responsável pela publicação de uma música que mostraria diferentes nomes relacionados à comunidade investigada. Moreira declarou ter localizado contas com variações do pseudônimo em plataformas como GitHub, Roblox, TikTok e Instagram.
Segundo Moreira, um perfil do GitHub atribuído ao pseudônimo apresentava seu operador como fundador da LofyGang e descrevia a organização como um grupo de programação. O documentário também mencionou um site, uma conta no Instagram, um endereço de correio eletrônico e um convite para um servidor do Discord encontrados durante a pesquisa.
Essas associações foram baseadas em perfis públicos e nas correlações realizadas pelo autor do documentário. Elas não equivalem a uma confirmação independente da identidade civil do operador.
Raven e V9
O pseudônimo Raven foi mencionado na parte final do documentário no contexto de outro grupo denominado V9, descrito no vídeo como Nine Versions of the Apocalypse. Moreira afirmou que Raven aparentemente exercia função de liderança nessa outra comunidade.
O vídeo sugeriu que contas associadas a diferentes comunidades poderiam ter mantido contato ou cooperado em determinadas atividades. Entretanto, o documentário não estabelece uma união formal entre a LofyGang e o V9, nem apresenta Raven como integrante confirmado da LofyGang.
EnganeLofy
O pseudônimo EnganeLofy é citado sem função, participação ou vínculo formal confirmado por fontes públicas independentes; porém, é apontado diversas vezes como um dos líderes da LofyGang.
Contas alternativas
As fontes técnicas descrevem a utilização de diferentes contas alternativas, conhecidas como sock puppets, para publicar pacotes, divulgar ferramentas e manter atividades em plataformas distintas. O emprego de várias contas poderia dificultar a correlação entre as campanhas e permitir que certas partes da infraestrutura continuassem disponíveis após a remoção de um pacote ou perfil.
Uma mesma pessoa pode controlar diferentes contas, enquanto determinado pseudônimo pode ser compartilhado, transferido ou reutilizado por operadores distintos. Por essa razão, os pseudônimos encontrados nas investigações não devem ser automaticamente tratados como nomes de integrantes confirmados.
As fontes públicas disponíveis não apresentam uma lista definitiva dos integrantes da LofyGang nem confirmam as identidades civis por trás de todos os pseudônimos mencionados.
Atividades relatadas em 2026
Pacote undicy-http
Em março de 2026, a JFrog Security Research publicou uma análise sobre um pacote malicioso denominado undicy-http, que imitava o nome da biblioteca legítima undici. Segundo a empresa, o pacote não apresentava as funcionalidades de cliente HTTP sugeridas por seu nome.
A JFrog atribuiu a atividade à LofyGang com base no nome utilizado pelo publicador, em textos incorporados ao código, em artefatos escritos em português e em semelhanças com a infraestrutura anteriormente relacionada ao grupo.
Segundo a pesquisa, o pacote distribuía dois componentes. O primeiro seria um trojan de acesso remoto desenvolvido em Node.js, com funções relacionadas à execução remota de comandos, captura de tela, transmissão de imagem, acesso a arquivos e persistência no sistema.
O segundo componente seria um executável destinado à coleta de informações armazenadas em navegadores. A análise descreveu funcionalidades relacionadas à obtenção de credenciais, cookies, tokens de sessão, informações de pagamento e dados associados a extensões de carteiras de criptomoedas.
A pesquisa observou que parte do código apresentava semelhanças com componentes encontrados em outras campanhas. Por esse motivo, nem todos os elementos técnicos analisados foram considerados exclusivos da LofyGang.
LofyStealer e campanha contra jogadores
Em abril de 2026, uma campanha direcionada a jogadores de Minecraft foi atribuída ao grupo. O programa investigado, denominado LofyStealer ou GrabBot, teria sido distribuído como uma falsa ferramenta para o jogo chamada Slinky.
De acordo com a análise publicada, o programa utilizava elementos visuais relacionados ao Minecraft para induzir sua execução. Após iniciado, implantava componentes destinados à coleta de senhas, cookies, tokens, informações de pagamento e outros dados armazenados em navegadores.
A campanha representou uma mudança em relação às atividades que haviam sido documentadas em 2022, concentradas principalmente na distribuição de pacotes JavaScript maliciosos e em ataques contra a cadeia de suprimentos de programas.
Documentário de Jansen Moreira