Los investigadores de ciberseguridad han señalado una mayor evolución de los ataques a la cadena de suministro relacionados con las familias de malware Mini Shai-Hulud, Miasma y Hades. El ataque también comprometió un nuevo conjunto de paquetes npm mientras se propagaba a través del ecosistema Go.
«La última actividad incluye lanzamientos maliciosos de npm que afectan los paquetes LeoPlatform y RStreams, la explotación de los flujos de trabajo de GitHub Actions y el compromiso de los módulos Go asociados involucrados en el proyecto Verana Blockchain», dijo Socket.
El objetivo final de la campaña, como antes, es recopilar credenciales de desarrollador o mantenedor y convertir los datos robados en armas para difundirlos en registros de paquetes, repositorios y flujos de trabajo de desarrolladores confiables.
La lista de paquetes afectados se encuentra a continuación:
hexo-deployer-wrangler@1.0.4 hexo-shoka-swiper@0.1.10 leo-auth@4.0.6 leo-aws@2.0.4 leo-cache@1.0.2 leo-cdk-lib@0.0.2 leo-cli@3.0.3 leo-config@1.1.1 leo-connector-elasticsearch@2.0.6 leo-connector-mongo@3.0.8 leo-connector-mysql@3.0.3 leo-connector-oracle@2.0.1 leo-connector-redshift@3.0.6 leo-cron@2.0.2 leo-logger@1.0.8 leo-sdk@6.0.19 leo-streams@2.0.1 prism-silq@1.0.1 rstreams-metrics@2.0.2 rstreams-shard-util@1.0.1 serverless-convention@2.0.4 serverless-leo@3.0.14 Solo-nav@1.0.1 github.com/verana-labs/verana-blockchain@v0.10.1-dev.20 (movido)
Se sospecha que la cuenta de desarrollador de npm («czirker») asociada con LeoPlatform se vio comprometida, posiblemente a través de credenciales comprometidas, lo que permitió el ataque. Esto permite a un atacante aprovechar un token npm propiedad de un administrador para enviar una versión troyanizada en 6 segundos.
La nueva ola aprovecha muchas de las tácticas observadas en campañas anteriores, incluido el envenenamiento del registro npm, la ejecución en instalación de vinculante.gyp, el malware JavaScript preparado por Bun, la infraestructura de GitHub deaddrop, el robo de secretos de GitHub Actions, la persistencia del asistente de codificación IDE e IA y la fuga de credenciales cifradas.
El paquete npm malicioso carece de enlaces de ciclo de vida que normalmente se agregan al archivo package.json, pero incluye un archivo vinculante.gyp para ejecutar código arbitrario durante la instalación, invocando un cargador de JavaScript que descarga e instala el tiempo de ejecución de Bun si no está presente, e inicia una carga útil de ladrón responsable de recopilar secretos, credenciales y tokens.
Además de incluir un interruptor de apagado local ruso y verificar la presencia de software de seguridad de punto final, el malware implementa un flujo de trabajo llamado «Run Copilot» para capturar secretos del entorno CI/CD de la memoria del ejecutor. Luego, la información se carga en un repositorio público de GitHub con la descripción «Muy bien, veamos si esto funciona». Al momento de escribir este artículo, hay 559 repositorios que coinciden con esta descripción.
Los marcadores de retransmisión de tokens también han cambiado en la última versión. Las oleadas anteriores usaban cadenas como «IfYouInvalidateThisTokenItWillNukeTheComputerOfTheOwner», mientras que el artefacto actual usa cadenas como «RevokeAndItGoesKaboom». Esta cadena se utiliza como solucionador de caídas muertas de GitHub en relación con un compromiso reciente de la acción de GitHub «codfish/semantic-release-action».
«El 24 de junio de 2026, a las 15:39:06 UTC, el atacante impulsó una confirmación maliciosa a codfish/semantic-release-action y redirigió varias etiquetas de versión para apuntar a la confirmación maliciosa», dijo StepSecurity.
«Un flujo de trabajo ejecutado contra una de estas etiquetas después de esa marca de tiempo ejecutó la carga útil del atacante directamente dentro del ejecutor de GitHub Actions. La carga útil roba el token OIDC de GitHub, recopila un token de acceso personal que coincide con un patrón de token de GitHub conocido, cifra el material recopilado con AES-128-GCM e intenta propagar la puerta trasera a otros repositorios accesibles con las credenciales robadas».
Esto indica que todos estos eventos están vinculados al mismo grupo de producción o linaje de herramientas. Según Endor Labs y OX Security, el malware sondea GitHub cada hora en busca de confirmaciones que coincidan con la cadena «firedalazer» para recuperar y ejecutar la variante Hades del malware.
«El conjunto de paquetes Leo/RStreams está vinculado a cargas de trabajo nativas de la nube y sin servidor», dijo JFrog. «Hacer concesiones aquí podría poner en riesgo sus estaciones de trabajo de desarrollador, sistemas CI/CD, aplicaciones respaldadas por AWS, repositorios de GitHub, credenciales de publicación de paquetes y consumidores de paquetes posteriores».
«Lo notable no es que la carga útil sea fundamentalmente nueva; es que Shai-Hulud continúa moviéndose por el ecosistema de paquetes canónicos, cambiando las métricas lo suficiente como para hacer que las detecciones obsoletas sean menos efectivas».
Además, envenenar Verana GitHub extiende el alcance de la campaña más allá de npm. Dicho esto, este ataque no depende de la resolución del módulo Go nativo ni de la lógica de compilación y utiliza el mismo patrón de ejecución de Miasma observado con paquetes npm maliciosos.
«A diferencia de los paquetes npm, esta muestra no depende de vinculante.gyp», explicó Socket. «El riesgo es la ejecución del repositorio de origen. Un desarrollador que clona o abre el repositorio en un entorno de asistente de codificación de IA o IDE confiable podría activar la carga útil a través de la configuración del proyecto».
«Esto refuerza un tema de campaña más amplio: Miasma se está moviendo en todo el ecosistema de empaquetado al apuntar a los flujos de trabajo de los desarrolladores, no solo a los ganchos de instalación del administrador de paquetes».
Source link
