Nuevo ataque de malware en npm compromete biblioteca popular de Ethereum con una puerta trasera

Nuevo malware en npm: Tácticas avanzadas de ataque descubiertas por ReversingLabs

Investigadores de seguridad de ReversingLabs han identificado una nueva campaña de malware en el repositorio de paquetes npm, revelando un enfoque sofisticado para comprometer sistemas mediante la inyección de código malicioso en dependencias ampliamente utilizadas. Este hallazgo subraya los riesgos persistentes en los ecosistemas de código abierto y la necesidad de reforzar los controles de seguridad en plataformas de distribución de software.

Mecanismos de infección y propagación

El malware descubierto emplea técnicas de typosquatting y dependency confusion para infiltrarse en proyectos legítimos:

• Creación de paquetes con nombres similares a bibliotecas populares (ejemplo: “express-validator” vs “express_validator”).
• Inclusión de dependencias maliciosas como instalación post-instalación (postinstall scripts).
• Uso de ofuscación de código para evadir análisis estáticos.

Capacidades del malware

Una vez instalado, el payload ejecuta múltiples acciones comprometedoras:

• Exfiltración de credenciales almacenadas en archivos de configuración (.env, config.json)
• Recolección de metadatos del sistema (SO, arquitectura, privilegios)
• Establecimiento de conexiones C2 (Command and Control) mediante protocolos cifrados

Implicaciones para la cadena de suministro de software

Este incidente destaca vulnerabilidades críticas en la gestión de dependencias:

• Falta de verificación automatizada de scripts post-instalación
• Limitaciones en los mecanismos de reputación de paquetes
• Dependencia excesiva en componentes de terceros sin auditorías adecuadas

Medidas de mitigación recomendadas

Las organizaciones deberían implementar las siguientes contramedidas:

• Configurar políticas estrictas de Software Bill of Materials (SBOM)
• Implementar soluciones de análisis estático/dinámico en pipelines CI/CD
• Utilizar herramientas como npm audit y lockfiles verificados
• Restringir permisos de ejecución para scripts post-instalación

Este caso demuestra la evolución de las tácticas de ataque contra repositorios de paquetes y refuerza la necesidad de adoptar modelos de confianza cero en el desarrollo de software. La investigación completa está disponible en el blog oficial de ReversingLabs.