Investigadores de ciberseguridad descubrieron un paquete NuGet malicioso que se hacía pasar por un kit de desarrollo de software C# de Sicoob, uno de los sistemas financieros cooperativos más grandes de Brasil, y desviaba ID de clientes y certificados PFX.
Según Socket, las versiones 2.0.0 a 2.0.4 de Sicoob.Sdk incluyen la capacidad de extraer información confidencial, como certificados PFX utilizados para autenticar empresas en la red bancaria de Sicoob, con el fin de automatizar operaciones bancarias, como el procesamiento de pagos instantáneos y la generación dinámica de códigos QR Pix. Se estima que este paquete se ha descargado casi 500 veces.
«Cuando un desarrollador crea una instancia de SicoobClient con un ID de cliente, una ruta de archivo PFX y una contraseña PFX, el paquete lee el archivo PFX del disco, codifica en Base64 su contenido y envía el ID de cliente proporcionado, la contraseña PFX y los datos PFX codificados a un punto final Sentry de terceros codificado», dijo el investigador de seguridad Kirill Boychenko.
Además, este paquete está diseñado para capturar respuestas sin procesar de la API de Boleto a través de una ruta Sentry separada. Boleto es un método de pago en efectivo común para compras online y offline en Brasil. Esto puede potencialmente exponer detalles confidenciales de la transacción, estado del pago, monto, fecha de vencimiento, identificadores, datos del pagador o del beneficiario.
Como resultado, los actores de amenazas podrían explotar los datos robados para hacerse pasar por la integración de la API bancaria Sicoob de la víctima, abriendo la puerta a riesgos graves, añadió Socket. Después de una divulgación responsable, NuGet bloqueó el paquete. El perfil detrás del paquete llamado «sicoob» también enumera otros 11 paquetes NuGet que han totalizado alrededor de 6000 descargas.
La compañía de seguridad de aplicaciones también dijo que este paquete apareció en el modo Google Search AI como una biblioteca C# legítima para interactuar con la API bancaria de Sicoob, amplificando así el paquete malicioso contra desarrolladores desprevenidos que lo buscan.
Otro aspecto importante de este ataque es la falta de coincidencia de fuente y paquete entre el repositorio de GitHub vinculado y los artefactos distribuidos a través de NuGet. Se sospecha que el repositorio de GitHub está diseñado para proporcionar una apariencia de legitimidad a la operación al permanecer limpio mientras que la funcionalidad de robo de datos maliciosos se implementa solo en los paquetes cargados en el registro.
Además, el compromiso de los materiales de autenticación de la API de Sicoob también puede plantear riesgos indirectos para los usuarios finales, ya que puede permitir la filtración de datos financieros y el uso indebido de pagos.
Se recomienda a las organizaciones que hayan instalado ‘Sicoob.Sdk’ que eliminen inmediatamente el paquete, traten cualquier material PFX como comprometido, reemplacen los certificados PFX expuestos, roten las contraseñas de PFX y cambien o deshabiliten las ID de los clientes afectados, si corresponde. También recomendamos auditar la autenticación de Sicoob y los registros de API para detectar signos de actividad inusual.
Este desarrollo coincidió con el descubrimiento de 14 paquetes npm maliciosos que escriben bibliotecas populares de configuración de entorno, OpenSearch, ElasticSearch, DevOps y para recopilar credenciales de AWS, tokens de HashiCorp Vault, tokens de npm y secretos de canalización de CI/CD del entorno host mediante un recolector de credenciales especializado lanzado a través de un gancho de preinstalación.
Según el equipo de investigación de seguridad de Microsoft Defender, estos paquetes fueron publicados por un único actor de amenazas llamado ‘vpmdhaj’ (‘a39155771@gmail.com’) el 28 de mayo de 2026. Los nombres de los paquetes son:
@vpmdhaj/devops-tools @vpmdhaj/elastic-helper @vpmdhaj/opensearch-setup @vpmdhaj/search-setup app-config-utility elastic-opensearch-helper env-config-manager opensearch-config-utility opensearch-security-scanner opensearch-setup opensearch-setup-tool search-cluster-setup search-engine-setup vpmdhaj-opensearch-setup
En los últimos días, se han informado varias campañas de ataques a la cadena de suministro de software dirigidas al ecosistema de código abierto.
Los 164 paquetes npm maliciosos en cinco espacios de nombres con alcance contienen una carga útil posterior a la instalación que descarga JavaScript de segunda etapa, lo genera como un proceso separado y envía las variables de entorno de la víctima («process.env») a «oob.moika(.)tech/report». 141 paquetes npm maliciosos publicados entre el 7 y el 27 de mayo de 2026. Explota npm como un alojamiento estático gratuito para un proxy web de monetización de anuncios dirigido a estudiantes y muestra anuncios emergentes a los usuarios que visitan estas páginas a través de resultados de búsqueda o enlaces compartidos. Paquete npm malicioso llamado «forge-jsxy». Permite el registro de teclas, el monitoreo del portapapeles, el escaneo de .env, la extracción del historial del shell, el inventario del host, el acceso remoto al sistema de archivos, la captura de capturas de pantalla y el escaneo de billeteras de criptomonedas. «Forge-jsxy» se está evaluando como una continuación de la campaña «forge-jsx» que se reveló a fines del mes pasado. 176 paquetes npm maliciosos explotan la confusión de dependencias utilizando números de versión altos (‘99.99.99’) para distribuir scripts posteriores a la instalación con huellas digitales del host y la capacidad de descargar cargas útiles de JavaScript específicas de la plataforma. Luego se realiza un reconocimiento adicional para extraer las credenciales y otros secretos valiosos del desarrollador, y se descarga y ejecuta un binario de segunda etapa.
Sonatype dijo en un nuevo informe que los actores de amenazas están yendo más allá de las técnicas tradicionales de typosquatting y más allá de los errores ortográficos obvios para robar datos y lanzar cargas útiles maliciosas utilizando nombres que parecen convincentes en los flujos de trabajo legítimos de los desarrolladores. Esto convierte los procedimientos de instalación de rutina en vectores propensos a riesgos para el reconocimiento, el robo de credenciales y el posterior compromiso.
Las técnicas comunes de brandjacking incluyen agregar prefijos o sufijos, confundir dependencias, copiar versiones, incorporar términos de destino, cambiar el alcance o los espacios de nombres y nombres que se asemejen a características de paquetes legítimos.
Una empresa de seguridad de la cadena de suministro dijo: «El término ‘typosquatting’ es demasiado limitado para ser captado en este análisis». «Un patrón más amplio es fabricar legitimidad, lo que significa que los atacantes diseñan nombres de paquetes para que parezcan plausibles, útiles y operativamente rutinarios dentro del ecosistema de software moderno».
Estos incidentes también giraron en torno a una serie de violaciones de la cadena de suministro de software relacionadas con TeamPCP (también conocido como Replicating Marauder y UNC6780). TeamPCP se ha convertido en una fuerza a tener en cuenta al contaminar herramientas de desarrollo populares en npm, PyPI, Docker Hub y Packagist en forma de gusano.
«Los clones de Marauder no sólo inyectaron código malicioso en los paquetes, sino que también explotaron la automatización, la confianza heredada y los flujos de trabajo normales de CI/CD para comprometer aún más el proceso», dijo el investigador de BlueVoyant, Michael Warren.
«Este fue el punto donde la campaña demostró más claramente que una sola dependencia o imagen de contenedor contaminada puede causar una brecha en el proceso de lanzamiento de una organización no relacionada. El cambio de táctica convirtió el envenenamiento de software aislado en un método repetible de propagación de víctima a víctima».
Source link
