Los investigadores de ciberseguridad han descubierto otra campaña activa de ataque a la cadena de suministro de software dirigida al registro npm que contiene más de 100 paquetes maliciosos que pueden robar tokens de autenticación, secretos de CI/CD y credenciales de GitHub de las máquinas de los desarrolladores.
La campaña recibió el nombre en código PhantomRaven de Koi Security. Se estima que esta actividad comenzó en agosto de 2025, cuando se subió el primer paquete al repositorio. Desde entonces, hemos crecido hasta un total de 126 bibliotecas npm y hemos acumulado más de 86 000 instalaciones.
Algunos paquetes también están marcados por la empresa DevSecOps DCODX.
op-cli-installer (486 descargas) used-imports (1350 descargas) badkit-api-client (483 descargas) Polyfill-corejs3 (475 descargas) eslint-comments (936 descargas)
Lo que hace que este ataque sea único es el patrón del atacante de ocultar código malicioso en una dependencia especificando una URL HTTP personalizada y luego, cada vez que se instala un paquete, npm recupera el código de un sitio web que no es de confianza (en este caso, «packages.storeartifact(.)com») en lugar de npmjs(.)com.
«Y npmjs(.)com no sigue esas URL», dijo el investigador de seguridad Oren Yomtov en un informe compartido con The Hacker News. «Los escáneres de seguridad no los detectarán. Las herramientas de análisis de dependencia los ignorarán. Estos paquetes aparecerán como ‘0 dependencias’ en todos los sistemas de seguridad automatizados». «
Aún más preocupante, el hecho de que la URL esté controlada por el atacante significa que puede ser explotada por actores maliciosos para modificar la carga útil y entregar todo tipo de malware, haciéndolo más sigiloso al proporcionar primero un código completamente benigno antes de eliminar versiones maliciosas de las dependencias una vez que el paquete haya sido ampliamente adoptado.
La cadena de ataque comienza tan pronto como un desarrollador instala uno de los paquetes «seguros», recuperando dependencias dinámicas remotas (RDD) de un servidor externo. El paquete malicioso viene con un gancho de preinstalación que desencadena la ejecución de la carga útil principal.
El malware está diseñado para escanear direcciones de correo electrónico en el entorno de desarrollo, recopilar información sobre el entorno CI/CD, recopilar huellas digitales del sistema, incluidas direcciones IP públicas, y filtrar los resultados a un servidor remoto.
Koi Security dijo que la elección de los nombres de los paquetes no es aleatoria y que los atacantes están utilizando un fenómeno llamado slopsquatting, donde modelos de lenguaje a gran escala (LLM) alucinan nombres de paquetes inexistentes pero que suenan plausibles, para registrar estos paquetes.
«PhantomRaven muestra cómo los atacantes sofisticados pueden explotar los puntos ciegos de las herramientas de seguridad tradicionales», dijo Yomtov. «Las dependencias dinámicas remotas son invisibles para el análisis estático. Las ilusiones de IA crean nombres de paquetes que suenan plausibles en los que los desarrolladores confían, y los scripts del ciclo de vida se ejecutan automáticamente sin interacción del usuario».
Este desarrollo muestra una vez más cómo los actores de amenazas están encontrando nuevas formas de ocultar códigos maliciosos en el ecosistema de código abierto y pasar desapercibidos.
«El ecosistema npm hace que la publicación de paquetes sea más fácil y menos conflictiva», dijo DCODX. «Los scripts del ciclo de vida (preinstalación, instalación, postinstalación) ejecutan código arbitrario durante la instalación, a menudo sin el conocimiento del desarrollador».
Source link
