La campaña de la cadena de suministro de Miasma ha provocado una nueva ola de ataques llamada infiernoesta vez involucrando 37 artefactos de rueda maliciosos en 19 paquetes en el registro Python Package Index (PyPI), mientras los ataques estilo Mini Shai-Hulud continúan refinándose y dividiéndose para apuntar a ecosistemas específicos.

«Las versiones comprometidas enviaron un archivo *-setup.pth que intenta ejecutarse automáticamente durante el inicio de Python, descargar el tiempo de ejecución de Bun JavaScript y ejecutar una carga útil de JavaScript ofuscada llamada _index.js», Socket dicho en un nuevo análisis.

La lista de paquetes identificados se encuentra a continuación:

• bramina 0.0.2, 0.0.3, 0.0.4
• cmd2func 0.2.2, 0.2.3
• nevera portátil 0.4.1, 0.4.2
• lanzamiento dinamo 1.5.4
• motor-ejecutor 0.3.4, 0.3.5
• ejecutor-http 0.1.3, 0.1.4
• funcióndesc 0.2.2, 0.2.3
• mágico 0.6.8, 0.6.9
• magia-ai 0.4.4, 0.4.5
• mrbios 0.1.1, 0.1.2
• napari-ufish 0.0.2, 0.0.3
• caja nuc 0.1.2, 0.1.3
• okita 0.0.7, 0.0.8
• agentes-panteón 0.6.1, 0.6.2
• conjuntos de herramientas pantheon 0.5.5, 0.5.6
• spateo-liberación 1.1.2
• sinago 0.1.1, 0.1.2
• ufish 0.1.2, 0.1.3
• uprobe 0.1.3, 0.1.4

Al igual que en las campañas anteriores de Shai-Hulud y Miasma, la carga maliciosa descarga e instala el tiempo de ejecución Bun JavaScript, que luego se utiliza para lanzar un ladrón de JavaScript muy ofuscado que puede recopilar una amplia gama de datos de los sistemas de los desarrolladores.

Esto incluye secretos asociados con GitHub, npm, PyPI, RubyGems, JFrog, CircleCI, Anthropic, AWS, GCP, Azure y Kubernetes, junto con configuraciones de Docker, tokens de Vault, claves SSH, historiales de shell, archivos .env, archivos .npmrc, archivos .pypirc, configuraciones de Claude/MCP y otras credenciales locales o accesibles para corredores.

Lo que ha cambiado esta vez es el marcador de campaña. Mientras que las iteraciones anteriores exportaban los datos recopilados a un repositorio público de GitHub con la descripción «Miasma: The Spreading Blight», «Miasma: The Spreading Blight» y «Miasma – The Spreading Blight», la última ola incluye las descripciones del repositorio –

• Hades – El fin de los condenados
• Hades * El fin de los condenados

«Eso hace que Hades se entienda mejor como una rama PyPI del mismo linaje Mini Shai-Hulud/Miasma, no como un incidente de malware Python independiente», dijo la compañía de seguridad de aplicaciones. «El manual principal sigue siendo el mismo: abusar de los canales de paquetes confiables, ejecutar antes del uso normal del paquete, preparar una carga útil de JavaScript impulsada por Bun, robar credenciales de desarrollador y CI/CD, y usar lógica de exfiltración y propagación centrada en GitHub».

Lo que ha cambiado esta vez es el uso de un archivo *-setup.pth que es procesado por el módulo «site» de Python durante el inicio del intérprete, lo que resulta en la ejecución de la carga útil maliciosa después de la instalación sin necesidad de que la víctima importe el paquete envenenado. La carga útil, a su vez, descarga y ejecuta Bun desde GitHub y ejecuta el ladrón, no sin antes comprobar si el sistema corresponde a la configuración regional rusa.

«Este es el equivalente en Python del problema del gancho de instalación de npm que Shai-Hulud y Miasma explotan repetidamente», explicó Socket. «La sintaxis es diferente, pero la consecuencia de seguridad es la misma: la instalación de dependencias crea una ventaja de ejecución antes de que se revise o invoque el código de la aplicación».

Hades Cluster intenta engañar a los escáneres de seguridad de IA

También están comprometidos, como parte de la campaña Hades, una serie de paquetes relacionados con la biología computacional, la bioinformática y el ecosistema de análisis genotipo-fenotipo.

• aumentar 0.11.97
• achicar 0.8.101
• gpsea 0.9.14
• mflux-streamlit 0.0.3, 0.0.4
• nhmpy 2.4.7
• ppkt2synergy 0.1.1
• herramientas pyphetools 0.9.120

Curiosamente, este clúster emplea un enfoque diferente en el que el punto de entrada está incrustado dentro del archivo «__init__.py» del paquete como un gancho de importación de una sola línea ofuscado. Sin embargo, el resultado es el mismo: descargar y ejecutar el tiempo de ejecución de Bun, seguido de la ejecución de la carga útil de JavaScript.

«El uso del tiempo de ejecución Bun sigue siendo un tema constante», StepSecurity dicho. «La descarga de Bun como un archivo ZIP independiente permite que el malware ejecute tareas complejas de JavaScript en entornos que carecen de una instalación de Node.js, evitando los controles tradicionales del administrador de paquetes y los registros de proxy de red».

En lo que se ha caracterizado como una novedosa técnica de evasión de defensa de inteligencia artificial (IA), el malware también incorpora una inyección de texto sin formato que intenta engañar a las herramientas de análisis de paquetes basadas en Large Language Model (LLM) para indicar al modelo que clasifique el paquete como seguro.

Además de eso, el malware consulta las confirmaciones de GitHub para la palabra clave «TheBeautifulSnadsOfTime» para extraer una cadena codificada en Base64 que contiene una carga útil de JavaScript. También sondea GitHub en busca de confirmaciones que coincidan con la palabra clave «firedalazer» para buscar un cuentagotas basado en Python y ejecutarlo.

Algunas de las características importantes integradas en el malware Hades se enumeran a continuación:

• Replica y distribuye lateralmente a través de redes de desarrolladores a través de SSH o SCP, envía versiones troyanizadas de paquetes PyPI desde sistemas comprometidos explotando las configuraciones de confianza OpenID Connect (OIDC) de los desarrolladores.
• Apunte a los repositorios de GitHub para extraer secretos de la organización utilizando los ejecutores de GitHub Actions si el token de GitHub recolectado tiene los permisos de escritura adecuados.
• Carpetas del espacio de trabajo local de puerta trasera para activar la ejecución de código cuando los asistentes de IA lo analizan o lo abren en IDE. Los objetivos incluyen Anthropic Claude, OpenAI Codex, Google Gemini, Microsoft Copilot, Cline, Aider, Tabby, Amazon Q, Cody, Bolt y Continuar.
• Instale un servicio en segundo plano llamado «gh-token-monitor» que actúa como un limpiador eliminando todos los datos («rm -rf ~/; rm -rf ~/Documents») si el desarrollador revoca el token de GitHub robado.

«Una capacidad clave del actor Miasma es leer la memoria del proceso del ejecutor de GitHub Actions (el proceso Runner.Worker) para extraer secretos», dijo el investigador de seguridad Rohan Prabhu. «En campañas anteriores, esto se limitaba a los sistemas Linux que usaban /proc/{pid}/mem. La campaña Hades presenta raspadores de memoria personalizados para macOS y Windows».

El desarrollo se produce cuando StepSecurity reveló que un atacante desconocido comprometió la cuenta de GitHub («LeonOstrez») vinculada a «Pythagora-io/gpt-pilot», una popular herramienta de desarrollo de inteligencia artificial de código abierto, y forzó una variante del gusano de robo de credenciales Shai-Hulud a la rama principal. El malware está diseñado para activarse silenciosamente cuando un desarrollador desprevenido ejecuta el proyecto, evitando al mismo tiempo los sistemas con una configuración regional rusa.

«El malware, una variante del gusano Shai-Hulud, fue detenido por un defensor improbable: ruff, un formateador de código Python», dijo Ashish Kurmi, cofundador y director de tecnología de StepSecurity. dicho. «El atacante intentó dos veces pasar el código malicioso a través de CI y falló en ambas ocasiones porque su archivo Python inyectado no coincidía con las reglas de formato y linting del proyecto».

La empresa de seguridad de la cadena de suministro de software Snyk tiene descrito estos ataques como parte del linaje Shai-Hulud/Miasma, con cada ola aprovechando un ladrón ofuscado en tiempo de ejecución de Bun y combinándolo con «nueva persistencia, nuevas rutas de exfiltración y nuevas formas de activar código automáticamente en el momento de la instalación o compilación».

«La campaña Miasma demuestra que tener claves firmadas y cuentas de mantenedor autenticadas ya no es una garantía absoluta de seguridad», Cloudsmith dicho. «Cuando los registros y repositorios ascendentes se ven comprometidos, el código público se convierte en una de las formas más fáciles y directas de ser pirateado».

Una nueva campaña de ataque a la cadena de suministro Mini Shai-Hulud, con nombre en código Miasmaha comprometido paquetes de @redhat-cloud-services para robar credenciales y secretos de las máquinas de los desarrolladores y entregar un gusano autopropagante.

«Esta es efectivamente una campaña Mini Shai-Hulud: utiliza las mismas tácticas centrales de ejecución en el momento de la instalación, recolección de credenciales, segmentación de CI/CD, exfiltración cifrada y posible propagación descendente», afirmó Socket. dicho.

Actualmente se desconoce exactamente quién está detrás de la actividad de ataque, dado que TeamPCP, un infame grupo de cibercrimen, ha abierto las herramientas de ataque vinculadas al gusano Shai-Hulud, abriendo la puerta para que otros actores de amenazas realicen ataques similares y dificultando la atribución definitiva.

Los nombres de algunos de los paquetes afectados se enumeran a continuación:

• @redhat-cloud-services/vulnerabilidades-cliente
• @redhat-cloud-services/tsc-transform-importaciones
• @redhat-cloud-services/cliente-de-inventario-topológico
• @redhat-cloud-services/fuentes-cliente
• @redhat-cloud-services/rule-components
• @redhat-cloud-services/cliente-de-remediaciones
• @redhat-cloud-services/rbac-client

Por análisis de Seguridad del Aikido, JFrog, microsoft, Seguridad buey, SafeDep, PasoSeguridady Fenómenolos paquetes npm contienen un enlace de preinstalación ofuscado que está diseñado para recopilar secretos de GitHub Actions, tokens npm, credenciales de nube, material de Kubernetes y Vault, claves SSH, credenciales de Git y otros archivos confidenciales.

Como se observó en oleadas anteriores de Mini Shai-Hulud, el malware también contiene una lógica de exfiltración cifrada que transmite los datos a «api.anthropic».[.]com:443/v1/api» y utiliza GitHub como mecanismo alternativo. Esto indica intentos realizados por el atacante de robar credenciales y utilizarlas como arma para envenenar aún más la cadena de suministro de software.

«Confirma el sobre de resultados cifrado a través de la API de GitHub», dijo Socket. «El mensaje de confirmación puede incluir: IfYouInvalidateThisTokenItWillNukeTheComputerOfTheOwner:«.

Otro paso notable que lleva a cabo el malware es evitar la ejecución en sistemas en idioma ruso, un patrón que también se observa en las campañas de la cadena de suministro de GlassWorm.

«Para npm, la carga útil llama al intercambio de tokens OIDC y a los puntos finales whoami, vuelve a empaquetar un tarball (updateTarball, package-updated.tgz) y firma el artefacto a través de Sigstore», dijo SafeDep. «Las credenciales robadas se filtran a repositorios públicos de GitHub creados por atacantes, cada uno con la descripción Miasma: The Spreading Blight».

La primera confirmación que contiene la cadena «Miasma: The Spreading Blight» apareció el 29 de mayo de 2026, señaló OX Security, lo que indica que esta variante estaba activa desde entonces o que el actor de amenazas comenzó a realizar pruebas en ese momento.

En cuanto a GitHub, el malware enumera los repositorios en los que el token puede escribir, lee action.yml/action.yaml a través de GraphQL y confirma un flujo de trabajo a través de la mutación createCommitOnBranch para que la confirmación aparezca como un cambio firmado y verificado. Otras acciones llevadas a cabo por el malware se enumeran a continuación:

• Intente escalar privilegios lanzando un contenedor que monte de forma vinculante el host /etc/sudoers.d y otorgue al corredor de CI sudo sin contraseña
• Verifique la protección de endpoints de CrowdStrike, SentinelOne, Carbon Black y StepSecurity Harden-Runner antes de comenzar las acciones maliciosas.
• Establezca persistencia inyectando un gancho SessionStart en Anthropic Claude Code y un task.json con «runOn»: «folderOpen» para proyectos de Microsoft Visual Studio Code para que el malware se inicie automáticamente durante cada sesión.

«Uno de los principales cambios en esta nueva variante es la incorporación de nuevos recolectores de datos centrados en identidades en la nube», dijeron los investigadores de Wiz. «Específicamente, se agregaron recopiladores de identidades de GCP y Azure que recopilan todas las identidades a las que tiene acceso la máquina infectada. Mientras que las versiones anteriores del malware se centraban principalmente en extraer secretos de estos entornos, esta variante sugiere un mayor enfoque del atacante en obtener y aprovechar el acceso a la propia nube.

A diferencia de las versiones anteriores, también se ha descubierto que el malware genera una carga útil cifrada de forma única para cada infección, lo que hace que la detección y el seguimiento de versiones sean significativamente más difíciles.

La evidencia sugiere que el compromiso de la cuenta de GitHub de un empleado de Red Hat fue el paciente cero que se utilizó para inyectar la carga útil en estos paquetes. Se dice que la cuenta comprometida envió confirmaciones huérfanas maliciosas a dos repositorios de RedHatInsights, evitando la revisión del código.

Se recomienda aislar los hosts que han instalado las versiones afectadas, eliminar las versiones maliciosas, rotar las credenciales expuestas, revisar si hay signos de actividad sospechosa de GitHub o npm, auditar el entorno en busca de artefactos de persistencia que involucren cambios en los archivos de configuración (~/.claude/settings.json, .vscode/tasks.json, .github/workflows/codeql.yml, .github/setup.js) y aplicar controles de acceso estrictos.

«Debido a que el malware incluye ejecución en segundo plano y posibles mecanismos de persistencia de herramientas de desarrollador, desinstalar el paquete npm o eliminar node_modules no debe considerarse una limpieza suficiente», explicó Socket.

«Para los sistemas CI/CD, suspenda las ejecuciones de flujo de trabajo afectadas, invalide los artefactos de compilación producidos durante la ventana de exposición y revise si se creó alguna versión, imagen de contenedor, paquete npm o artefacto de implementación después de instalar el paquete malicioso».

Investigadores de ciberseguridad han descubierto un paquete NuGet malicioso que se hace pasar por un kit de desarrollo de software C# para Sicoob, uno de los sistemas financieros cooperativos más grandes de Brasil, para desviar ID de clientes y certificados PFX.

De acuerdo a Enchufeversiones 2.0.0 a 2.0.4 de «Sicoob.Sdk» contiene funcionalidad para filtrar información confidencial, incluidos certificados PFX que se utilizan para autenticar empresas en la red bancaria Sicoob con el fin de automatizar operaciones bancarias, como el procesamiento de pagos instantáneos y la generación de códigos QR dinámicos Pix. Se estima que el paquete se descargó casi 500 veces.

«Cuando un desarrollador crea una instancia de SicoobClient con una ID de cliente, una ruta de archivo PFX y una contraseña PFX, el paquete lee el archivo PFX del disco, codifica en Base64 su contenido y envía la ID de cliente suministrada, la contraseña PFX y los datos PFX codificados a un punto final Sentry de terceros codificado», dijo el investigador de seguridad Kirill Boychenko.

Además, el paquete está diseñado para capturar respuestas sin procesar de la API de Boleto a través de una ruta Sentry separada. Boleto es un método de pago en efectivo popular en Brasil para realizar compras en línea y fuera de línea. Esto puede potencialmente exponer detalles confidenciales de transacciones, estado de pago, montos, fechas de vencimiento, identificadores y datos del pagador o beneficiario.

Como resultado, los datos robados podrían abrir la puerta a riesgos graves, ya que el actor de amenazas puede abusar de ellos para hacerse pasar por la integración de la API bancaria Sicoob de la víctima, añadió Socket. Tras una divulgación responsable, NuGet bloqueó el paquete. El perfil detrás del paquete, llamado «sicoob», también ha enumerado otros 11 paquetes NuGet que en conjunto han acumulado alrededor de 6.000 descargas.

La compañía de seguridad de aplicaciones también dijo que el modo Google Search AI mostró el paquete como una biblioteca C# legítima para interactuar con las API bancarias de Sicoob, amplificando así el paquete malicioso para los desarrolladores desprevenidos que pueden estar buscándolo.

Otro aspecto importante del ataque es la discrepancia entre el origen y el paquete entre el repositorio de GitHub vinculado y el artefacto distribuido a través de NuGet. Se sospecha que el repositorio de GitHub está diseñado para dar una apariencia de legitimidad a la operación manteniéndola limpia, mientras que la funcionalidad maliciosa de robo de datos se introduce sólo en el paquete cargado en el registro.

Es más, el compromiso del material de autenticación de la API de Sicoob también puede plantear riesgos indirectos para los usuarios finales, ya que podría filtrar datos financieros posteriores o permitir el abuso de pagos.

Se recomienda a las organizaciones que hayan instalado «Sicoob.Sdk» que eliminen inmediatamente el paquete, traten el material PFX como comprometido, reemplacen los certificados PFX expuestos, roten las contraseñas de PFX y cambien o deshabiliten las ID de los clientes afectados cuando corresponda. También se recomienda auditar la autenticación de Sicoob y los registros de API para detectar signos de actividad inusual.

El desarrollo coincide con el descubrimiento de 14 paquetes npm maliciosos que escriben bibliotecas conocidas de configuración de entorno, OpenSearch, ElasticSearch, DevOps y para recolectar credenciales de AWS, tokens de HashiCorp Vault, tokens de npm y secretos de canalización de CI/CD del entorno host mediante un recolector de credenciales especialmente diseñado que se lanza a través de un gancho de preinstalación.

Según el equipo de investigación de seguridad de Microsoft Defender, los paquetes fueron publicados por un único actor de amenazas llamado «vpmdhaj» («a39155771@gmail.com») el 28 de mayo de 2026. Los nombres de los paquetes se encuentran a continuación:

• @vpmdhaj/herramientas-devops
• @vpmdhaj/elástico-ayudante
• @vpmdhaj/opensearch-setup
• @vpmdhaj/configuración de búsqueda
• utilidad-config-aplicación
• ayudante de búsqueda abierta elástica
• administrador de configuración env
• utilidad-config-opensearch
• escáner-de-seguridad-opensearch
• configuración de búsqueda abierta
• herramienta de configuración de opensearch
• configuración-del-clúster-de-búsqueda
• configuración del motor de búsqueda
• vpmdhaj-opensearch-configuración

Los hallazgos son los últimos de una asombrosa serie de campañas de ataques a la cadena de suministro que se han dirigido al ecosistema npm en los últimos días.

• 164 paquetes npm maliciosos en cinco espacios de nombres con alcance que contienen una carga útil posterior a la instalación que descarga JavaScript de segunda etapa, lo genera como un proceso independiente y envía las variables de entorno de la víctima («process.env») a «oob.moika[.]tecnología/informe.»
• 141 paquetes npm maliciosos publicado entre el 7 y el 27 de mayo de 2026, que abusa de npm como alojamiento estático gratuito para un proxy web monetizado con publicidad dirigido a estudiantes, que muestra anuncios emergentes a quienes acceden a estas páginas a través de resultados de búsqueda o enlaces compartidos.
• Un paquete npm malicioso llamado «forjar-jsxy» que es capaz de realizar registros de teclas, monitoreo del portapapeles, escaneo de .env, filtración del historial de shell, inventario de host, acceso remoto al sistema de archivos, captura de pantalla y escaneo de billeteras de criptomonedas. Se considera que «Forge-jsxy» es una continuación de la campaña «forge-jsx» que salió a la luz a fines del mes pasado.
• 176 paquetes npm maliciosos que emplean confusión de dependencia mediante el uso de un número de versión alto («99.99.99») para distribuir un script posterior a la instalación con capacidades para tomar huellas dactilares del host y descargar una carga útil de JavaScript específica de la plataforma, que luego realiza reconocimientos adicionales, extrae credenciales y otros secretos valiosos del desarrollador, y descarga y ejecuta un binario de segunda etapa.

En un informe recientemente publicado, Sonatype dijo que los actores de amenazas han superado las técnicas clásicas de typosquatting, yendo más allá de errores ortográficos obvios al uso de nombres que parecen convincentes en flujos de trabajo legítimos de desarrolladores para robar datos y soltar cargas maliciosas. Esto, a su vez, transforma un paso de instalación de rutina en una vía propensa a riesgos para el reconocimiento, el robo de credenciales y el compromiso posterior.

Las técnicas populares de brandjacking incluyen la adición de prefijos o sufijos, confusión de dependencias, imitación de versiones, términos de destino integrados, ámbitos o espacios de nombres alterados y nombres que se asemejan a la función de un paquete legítimo.

«’Typosquatting’ es ahora una etiqueta demasiado limitada para lo que captura este análisis», dijo la empresa de seguridad de la cadena de suministro. dicho. «El patrón más amplio es la legitimidad fabricada: los atacantes diseñan nombres de paquetes para que parezcan plausibles, útiles y operativamente rutinarios dentro de los ecosistemas de software modernos».

Estos incidentes también se han desarrollado contra una serie de compromisos en la cadena de suministro de software que se han relacionado con TeamPCP (también conocido como Replicating Marauder y UNC6780), que se ha convertido en una fuerza a tener en cuenta al envenenar herramientas de desarrollo populares en npm, PyPI, Docker Hub y Packagist en forma de gusano.

«Replicar Marauder no consistió simplemente en insertar código malicioso en paquetes, sino también explotar la automatización, la confianza heredada y los flujos de trabajo de CI/CD ordinarios para impulsar el compromiso aún más», dijo el investigador de BlueVoyant, Michael Warren. dicho.

«Este fue el punto donde la campaña demostró más claramente que una dependencia o imagen de contenedor envenenada podría desencadenar un compromiso en el proceso de lanzamiento de una organización no relacionada. El cambio táctico convirtió el envenenamiento de software aislado en un método reproducible para la expansión de víctima a víctima».

Los actores de amenazas continúan explotando una falla de seguridad crítica, ahora parcheada, que afecta las implementaciones de FortiClient Endpoint Management Server (EMS) para entregar malware de robo de credenciales.

«La campaña abusó de la infraestructura confiable de administración de puntos finales para distribuir malware en los puntos finales administrados», Arctic Wolf dicho. «Los actores de amenazas disfrazaron la carga útil del ladrón de credenciales como una actualización del endpoint de Fortinet, ejecutando silenciosamente el ejecutable malicioso a través de PowerShell».

La actividad, observada por la empresa de ciberseguridad en mayo de 2026, implica la explotación de CVE-2026-35616 (puntuación CVSS: 9,1), una omisión crítica de acceso a la API de autenticación previa que conduce a una escalada de privilegios. Fortinet solucionó el problema en FortiClient EMS 7.4.7 y versiones posteriores.

A un compromiso exitoso le sigue que el actor de la amenaza tome medidas para modificar las configuraciones para aplazar los recordatorios de actualización del firmware, así como también modifique la configuración del perfil de acceso remoto y la política de terminal para insertar un script malicioso para su ejecución en dispositivos de terminal.

«El patrón de ejecución observado sugiere que los actores de amenazas utilizaron la propia vía de administración de FortiClient para enviar comandos maliciosos de PowerShell a los puntos finales administrados de una manera que se asemejaba a operaciones de administración legítimas», dijo Arctic Wolf.

«Una vez que los actores de la amenaza tuvieron una ruta para modificar la configuración administrada por EMS, cada punto final administrado se convirtió en un objetivo de ejecución potencial sin requerir una ruta de intrusión separada para cada dispositivo».

Además, se descubrió que el ataque aprovecha «fortitray.exe», un ejecutable legítimo asociado con FortiClient para iniciar un archivo de script .cmd usando «cmd.exe». El script .cmd está diseñado para invocar un script de PowerShell codificado en Base64 que, a su vez, es responsable de descargar una carga útil maliciosa, ejecutarla y filtrar los resultados a «83.138.53».[.]110″ a través de una solicitud HTTP POST.

El ejecutable, llamado «FortiEndpoint_Patch.exe», se hace pasar por una actualización, pero, en realidad, es un ladrón de información de Windows no reportado anteriormente, capaz de recopilar datos confidenciales, como contraseñas, cookies y detalles de autocompletar, como información de tarjetas de crédito, direcciones y números de teléfono, de navegadores basados ​​en Chromium y Gecko.

Los datos se escriben en un archivo de registro y se guardan en el directorio ProgramData. Vale la pena señalar que el ladrón carece de capacidades de exfiltración basadas en la red. Es el script de PowerShell el que transmite los datos capturados a la infraestructura controlada por el atacante.

«Al evitar la autenticación API e interactuar con la funcionalidad EMS en un contexto privilegiado, los actores de amenazas pudieron modificar la configuración de administración y enviar scripts maliciosos para su ejecución en puntos finales administrados», dijo Arctic Wolf.

«Las cookies de sesión y las credenciales guardadas del navegador pueden proporcionar a los actores de amenazas un acceso posterior a servicios en la nube, aplicaciones internas y otros recursos autenticados, incluidos los casos en los que la reutilización de sesiones puede eludir las indicaciones de MFA».

Una nueva campaña coordinada de ataque a la cadena de suministro de software entre ecosistemas se ha dirigido a npm, PyPI y Crates.io para distribuir malware de robo de credenciales.

La campaña, cuyo nombre en clave Trampaabarca más de 34 paquetes maliciosos en más de 384 versiones. La actividad más temprana se registró el 22 de mayo de 2026, a las 8:20 p.m. UTC, con nuevos paquetes publicados en los ecosistemas en oleadas desde un grupo de cuentas en rápida sucesión.

«TrapDoor se dirige a desarrolladores de comunidades de criptografía, DeFi, Solana e IA», dijo Socket. «Los paquetes maliciosos están diseñados para robar secretos de desarrolladores, billeteras criptográficas, claves SSH, credenciales de la nube, datos del navegador y variables de entorno».

«Varios paquetes npm también implementan una carga útil compartida, trap-core.js, que busca credenciales, valida tokens de AWS y GitHub, intenta el movimiento lateral basado en SSH y planta la persistencia a través de .cursorrules, CLAUDE.md, ganchos de Git, ganchos de shell, systemd, cron y SSH».

Vale la pena señalar que la actividad no tiene conexión con otra campaña del mismo nombre que el Equipo de Investigación e Inteligencia de Amenazas Satori de HUMAN detalló la semana pasada como involucrada en fraude publicitario al distribuir 455 aplicaciones de Android a través de Google Play Store.

El lista de paquetes identificados está debajo –

• Cajas.io

  • construcción del analizador de movimientos
  • mover-herramientas-compiladoras
  • constructor-de-proyectos-de-movimiento
  • ayudantes-sui-framework
  • sui-move-build-ayudante
  • sui-sdk-build-utils

• npm

  • constructor de canalizaciones asíncronas
  • utilidades de scripts de compilación
  • validador-de-clave-de-cadena
  • escáner de credenciales criptográficas
  • auditor-defi-env
  • escáner-de-amenazas-defi
  • auditor-clave-de-despliegue
  • dev-env-bootstrapper
  • centinela-billetera-eth
  • compresor-de-contexto llm
  • control-de-seguridad-mnemotécnico
  • modelo-switch-router
  • ayudantes de configuración de nodos
  • herramientas-init-del-proyecto
  • kit de herramientas de ingeniería rápida
  • solidez-despliegue-guardia
  • rastreador de uso de tokens
  • verificador-de-respaldo-de-billetera
  • verificador-de-seguridad-de-billetera
  • detector-de-secretos-web3
  • cargador-de-configuración-del-espacio de trabajo

• PyPI

  • seguridad-criptomoneda
  • verificación de canalización de datos
  • escáner-de-riesgo-defi
  • env-cargador-cli
  • auditor-de-seguridad-ética
  • git-config-sincronización
  • solidez-construcción-guardia

La operación se destaca por sus diversas rutas de entrega, que utilizan enlaces posteriores a la instalación, cargas útiles de JavaScript remotas que se ejecutan durante las importaciones de paquetes y scripts build.rs maliciosos dirigidos a los desarrolladores de Sui y Move. Los paquetes se hacen pasar por herramientas aparentemente inofensivas y brindan a los atacantes la capacidad de llegar a una audiencia más amplia.

Se ha descubierto que los paquetes npm ejecutan una carga útil de JavaScript («trap-core.js»), que busca credenciales y secretos de desarrollador, valida las credenciales robadas mediante llamadas API de AWS y GitHub y crea persistencia en el host mediante trabajos cron, servicios systemd, enlaces Git y se mueve a través de la red a través de SSH.

Las cajas Rust, de manera similar, buscan almacenes de claves locales, cifran los datos usando una clave XOR codificada y los exfiltran a GitHub Gists. Los paquetes también destacan por el uso de un construir script («build.rs») para desencadenar la ejecución del código malicioso.

Los paquetes de Python asociados con TrapDoor están diseñados de manera que se ejecuten automáticamente al importarlos. El objetivo principal de los paquetes es descargar JavaScript desde un dominio de páginas GitHub controlado por un atacante («ddjidd564.github[.]io») y ejecútelo usando «node -e».

«Esta técnica permite que el paquete Python delegue la ejecución a una carga útil remota de JavaScript, dando al atacante más flexibilidad después de la publicación», explicó Socket. «Al alojar la carga útil externamente, el atacante puede actualizar el comportamiento sin publicar una nueva versión de PyPI».

Un aspecto inusual de la campaña es la implantación de .cursorrules y CLAUDE.md que contienen instrucciones ocultas para engañar a los asistentes de inteligencia artificial (IA) para que ejecuten un «escaneo de seguridad» que resulta en el descubrimiento y exfiltración de secretos. Esto se logra abriendo solicitudes de extracción (PR) de GitHub en proyectos populares de IA y desarrolladores, incluidos «browser-use/browser-use», «langchain-ai/langchain» y «langflow-ai/langflow».

La actividad de relaciones públicas indica que TrapDoor va más allá de enviar paquetes maliciosos a ecosistemas de código abierto. Socket dijo que el actor de amenazas probablemente esté probando si los archivos de proyectos relacionados con la IA se pueden introducir a través de flujos de trabajo regulares de contribución de código abierto, lo que provocará que las herramientas de codificación de IA analicen esas instrucciones ocultas y las apliquen.

Los hallazgos demuestran una vez más cómo los actores de amenazas se dirigen cada vez más a los flujos de trabajo de los desarrolladores, con el objetivo de robar una amplia gama de información que podría permitir profundizar en los entornos de destino para ataques posteriores.

«TrapDoor muestra cómo los atacantes están combinando la tradicional manipulación tipográfica de paquetes con rutas de ataque más nuevas en el entorno de desarrollador», dijo Socket. «Los nombres de los paquetes están diseñados para que parezcan relevantes para el desarrollo criptográfico, las herramientas de inteligencia artificial, la configuración del entorno local y los flujos de trabajo de seguridad. Luego, el malware utiliza rutas de ejecución específicas del ecosistema: build.rs en Rust, enlaces postinstalación en npm y ejecución en tiempo de importación en Python».

Los investigadores de ciberseguridad han señalado una nueva campaña de ataque a la cadena de suministro de software que se ha dirigido a múltiples paquetes PHP pertenecientes a Laravel-Lang para ofrecer un marco integral de robo de credenciales.

Los paquetes afectados incluyen:

• laravel-lang/lang
• laravel-lang/http-status
• laravel-lang/atributos
• laravel-lang/acciones

«El momento y el patrón de las etiquetas recientemente publicadas apuntan a un compromiso más amplio del proceso de lanzamiento de la organización Laravel Lang, en lugar de una única versión de paquete malicioso», Socket dicho. «Las etiquetas se publicaron en rápida sucesión el 22 y 23 de mayo de 2026, y muchas versiones aparecieron con sólo unos segundos de diferencia».

Se han identificado más de 700 versiones asociadas con estos paquetes, lo que indica etiquetado masivo o republicación automatizada. Se sospecha que el atacante pudo haber logrado obtener acceso a credenciales a nivel de organización, automatización de repositorios o infraestructura de lanzamiento.

La principal funcionalidad maliciosa se encuentra en un archivo llamado «src/helpers.php» que está incrustado en las etiquetas de versión. Está diseñado principalmente para tomar huellas digitales del host infectado y contactar con un servidor externo («flipboxstudio[.]info») para recuperar una carga útil multiplataforma basada en PHP que se ejecuta en Windows, Linux y macOS.

Según Aikido Security, el dropper ofrece un iniciador de Visual Basic Script en Windows y lo ejecuta a través de cscript. En Linux y macOS, ejecuta la carga útil del ladrón mediante exec().

«Porque este archivo [‘src/helpers.php’] está registrado en compositor.json bajo autoload.files, la puerta trasera se ejecuta automáticamente en cada solicitud PHP manejada por la aplicación comprometida», explicó Socket.

«El script genera un marcador único por host (un hash MD5 que combina la ruta del directorio, la arquitectura del sistema y el inodo) para garantizar que la carga útil solo se active una vez por máquina. Esto evita ejecuciones redundantes y ayuda a que el malware permanezca sin ser detectado después de la ejecución inicial».

El ladrón está equipado para recopilar una amplia gama de datos de sistemas comprometidos y filtrarlos al mismo servidor. Esto incluye –

• Roles de IAM y documentos de identidad de instancias mediante la consulta de puntos finales de metadatos en la nube
• Credenciales predeterminadas de la aplicación Google Cloud
• Tokens de acceso de Microsoft Azure y perfiles de entidad de servicio
• Tokens de cuenta de servicio de Kubernetes y configuraciones de registro de Helm
• Tokens de autenticación para DigitalOcean, Heroku, Vercel, Netlify, Railway y Fly.io
• Fichas de bóveda de HashiCorp
• Tokens y configuraciones de Jenkins, GitLab Runners, GitHub Actions, CircleCI, TravisCI y ArgoCD
• Frases semilla y archivos asociados con carteras de criptomonedas (Electrum, Exodus, Atomic, Ledger Live, Trezor, Wasabi y Sparrow) y extensiones (MetaMask, Phantom, Trust Wallet, Ronin, Keplr, Solflare y Rabby)
• Historial del navegador, cookies y datos de inicio de sesión de Google Chrome, Microsoft Edge, Mozilla Firefox, Brave y Opera mediante el uso de un ejecutable integrado de Windows codificado en Base64 que evita el cifrado vinculado a aplicaciones de Chromium (ABE) protecciones
• Bóvedas locales y datos de extensiones de navegador para 1Password, Bitwarden, LastPass, KeePass, Dashlane y NordPass
• Sesiones guardadas de PuTTY/WinSCP
• Volcados del Administrador de credenciales de Windows
• Sesiones guardadas de WinSCP
• Archivos RDP
• Tokens de sesión asociados con aplicaciones como Discord, Slack y Telegram
• Datos de Microsoft Outlook, Thunderbird y clientes FTP populares (FileZilla, WinSCP y CoreFTP)
• Archivos de configuración y credenciales que contienen tokens de autenticación de Docker, claves privadas SSH, credenciales de Git, archivos de historial de shell, archivos de historial de bases de datos, configuraciones de clúster de Kubernetes, archivos .env, wp-config.php y docker-compose.yml.
• Variables de entorno cargadas en el proceso PHP
• Credenciales de control de fuente de archivos .gitconfig, .git-credentials y .netrc globales y locales
• Configuración de VPN y archivos de inicio de sesión guardados para OpenVPN, WireGuard, NetworkManager y VPN comerciales como NordVPN, ExpressVPN, CyberGhost y Mullvad

«La carga útil recuperada es un ladrón de credenciales PHP de aproximadamente 5900 líneas, organizado en quince módulos recopiladores especializados», dijo el investigador de Aikido Ilyas Makari. dicho. «Después de recopilar todo lo que puede encontrar, cifra los resultados con AES-256 y los envía a flipboxstudio[.]información/exfil. Luego se borra del disco para limitar la evidencia forense».

Los demócratas del Congreso quieren respuestas de la Agencia de Seguridad de Infraestructura y Ciberseguridad sobre la exposición pública reportada de datos confidenciales de credenciales de la agencia en GitHub en un incidente que el investigador de seguridad que lo descubrió calificó como una de las peores filtraciones que jamás haya visto.

Otros profesionales de la seguridad también expresaron su preocupación el martes por la filtración y el potencial de abuso por parte de partes malintencionadas que obtuvieron la información.

La firma de seguridad GitGuardian dijo que descubrió un repositorio público de GitHub la semana pasada que exponía credenciales para cuentas privilegiadas de AWS GovCloud y sistemas internos CISA que datan de noviembre. El depósito, aparentemente mantenido por un contratista, se denominó “Privado-CISA”.

Krebs on Security informó por primera vez el incidente.

«Mi principal temor… es que un actor estatal obtenga los datos y pueda hacer cosas malas», dijo a CyberScoop el investigador de seguridad de GitGuardian, Guillaume Valadon, que pensó para sí mismo al descubrir la filtración, después de concluir que era real; Inicialmente pensó que parecía falso.

Los atacantes estatales que obtuvieron las credenciales «podrían ganar persistencia», dijo Valadon, «así que para mí es incluso peor que un atacante que destruya todo, tener a alguien en un sistema gubernamental; es realmente, realmente malo».

El representante de Mississippi Bennie Thompson, el principal demócrata del Comité de Seguridad Nacional, y Delia Ramírez, la principal demócrata del subcomité cibernético del panel, exigieron una sesión informativa el martes en una carta. al director interino de CISA, Nick Andersen.

Dijeron que querían saber “cómo ocurrió esta grave falla de seguridad, cualquier posible consecuencia de seguridad, actividades de remediación, acciones correctivas relacionadas con el personal del contratista involucrado y esfuerzos para monitorear y prevenir que ocurran actividades similares en el futuro”.

La senadora Maggie Hassan, DN.H., también envió una carta el martes a Andersen, solicitando una sesión informativa clasificada para responder preguntas sobre qué sistemas estuvieron expuestos, qué trabajo forense hizo CISA para evaluar daños potenciales y qué acciones correctivas ha tomado.

«Este incidente reportado plantea serias dudas sobre cómo podría ocurrir tal falla de seguridad en la misma agencia encargada de ayudar a prevenir violaciones cibernéticas», escribió Hassan en la misiva informado por primera vez por Axios, particularmente «con respecto a las políticas y procedimientos internos de CISA en un momento de importantes amenazas de ciberseguridad contra la infraestructura crítica de EE. UU.».

Ambas cartas señalaron los recortes de personal y presupuesto en la agencia como posibles contribuyentes al incidente.

CISA dijo que estaba investigando lo sucedido.

«La Agencia de Seguridad de Infraestructura y Ciberseguridad está al tanto de la exposición reportada y continúa investigando la situación», dijo un portavoz. «Actualmente, no hay indicios de que ningún dato confidencial se haya visto comprometido como resultado de este incidente. Si bien exigimos a los miembros de nuestro equipo los más altos estándares de integridad y conciencia operativa, estamos trabajando para garantizar que se implementen salvaguardas adicionales para evitar incidentes futuros».

Según se informa, el mantenimiento del repositorio lo realizaba un contratista de Nightwing. Un portavoz de Nightwing remitió las preguntas a CISA.

El tipo de exposición que le ocurrió a CISA “es una forma lamentablemente dolorosa, pero común y repetida, si no implacable, en la que vemos a las organizaciones filtrar inadvertidamente credenciales muy sensibles a la web en general”, dijo Ben Harris, fundador de WatchTowr, una empresa que ayuda a las organizaciones a detectar dichas exposiciones.

Harris le dijo a CyberScoop que no quería especular sobre lo que los atacantes que obtuvieron las credenciales podrían hacer con ellas, pero dijo que sería «aterrador» si el contratista estuviera transfiriendo información del trabajo a casa, como teorizó un investigador.

Dave Mitchell, director senior de inteligencia de amenazas de Infoblox, dijo a CyberScoop que el incidente mostró la importancia de que los equipos cuenten con controles y auditorías en todos sus repositorios.

«De todas las cosas que me mantienen despierto por la noche, las configuraciones erróneas en GitHub son una pesadilla recurrente. Es fundamental para muchas organizaciones: todo lo que se necesita es una carga accidental o una configuración incorrecta y te registras para un incidente importante», dijo en una declaración escrita. «No es necesario que un actor de amenazas utilice técnicas avanzadas para comprometerlo si las llaves ya están en el mostrador».

Travis Rosiek, director de tecnología del sector público de Rubrik, señaló que el momento del problema coincidía con el cierre del gobierno que recientemente se resolvió para el DHS. Dijo que el incidente demostró que el gobierno federal debe priorizar la resiliencia.

«La persistente escasez de talento en ciberseguridad, combinada con fallas de financiamiento, alta rotación de personal y un panorama de amenazas cada vez más complejo, creó la tormenta perfecta para este escenario», dijo en una declaración escrita a CyberScoop. «Ninguna organización es inmune y debemos garantizar que el gobierno federal, que es responsable de ayudar a proteger la infraestructura crítica de la nación y mejorar nuestra postura de ciberseguridad, permanezca en pleno funcionamiento las 24 horas del día, los 7 días de la semana, los 365 días del año».

Sin minimizar la gravedad del incidente, algunos investigadores que han analizado la filtración dijeron que existen circunstancias atenuantes que hacen que algunos elementos sean defendibles o, al menos, comprensibles.

CISA actuó muy rápidamente para eliminar el repositorio, dijo Valadon, una vez que les alertó sobre la filtración.

E incluso si CISA cuenta con las políticas adecuadas, el error humano aún puede hacer que sea difícil evitar por completo incidentes como este, dijo Harris.

«La realidad es que esto sucede todos los días en diferentes organizaciones, incluidas las empresas de ciberseguridad», dijo, señalando que sería diferente si fuera un patrón. «Esto no es exclusivo de CISA. Realmente no creo que se refleje bien si vemos esto todos los días con CISA… No es ideal que haya sucedido siquiera una vez, pero la realidad es que la ciberseguridad son personas, procesos y tecnología».

CISA ha tenido otros incidentes de seguridad en el pasado, incluso recientemente. El exdirector interino de la agencia sufrió críticas por subir datos confidenciales del contrato a ChatGPT el año pasado. En 2024, la agencia notificó al Congreso sobre una violación de una herramienta de seguridad de una planta química.

Los investigadores de ciberseguridad han detectado una versión comprometida de la extensión de la consola Nx que se publicó en el mercado de Microsoft Visual Studio Code (VS Code).

La extensión en cuestión es rwl.angular-consola (versión 18.95.0), una interfaz de usuario y complemento popular para editores de código como VS Code, Cursor y JetBrains. La extensión VS Code tiene más de 2,2 millones de instalaciones. La versión Open VSX no se ha visto afectada por el incidente.

«A los pocos segundos de que un desarrollador abriera cualquier espacio de trabajo, la extensión comprometida buscó y ejecutó silenciosamente una carga útil ofuscada de 498 KB de una confirmación huérfana oculta dentro del repositorio oficial de GitHub nrwl/nx», dijo el investigador de StepSecurity Ashish Kurmi. dicho.

La carga útil es una «herramienta de envenenamiento de la cadena de suministro y ladrón de credenciales de varias etapas» que recopila secretos de los desarrolladores y los filtra a través de HTTPS, la API de GitHub y el túnel DNS. También instala una puerta trasera de Python en sistemas macOS que abusa de la API de búsqueda de GitHub como un solucionador muerto para recibir más comandos.

En un aviso emitido el lunes, los mantenedores de la extensión dicho La causa raíz se remonta a uno de sus desarrolladores, cuya máquina se vio comprometida en un incidente de seguridad reciente que filtró sus credenciales de GitHub. Aunque no se reveló la naturaleza del «incidente» anterior, las credenciales del desarrollador han sido revocadas temporalmente.

Se dice que se ha abusado del acceso proporcionado por las credenciales para enviar un compromiso huérfano y sin firmar a nrwl/nx, que introduce el malware ladrón. La acción maliciosa se activa tan pronto como un desarrollador abre cualquier espacio de trabajo en VS Code, lo que lleva a la instalación del tiempo de ejecución Bun JavaScript para ejecutar una carga útil «index.js» ofuscada.

El malware ejecuta comprobaciones para evitar infectar máquinas probablemente ubicadas en las zonas horarias de Rusia/CEI y se lanza como un proceso en segundo plano independiente para iniciar el flujo de trabajo de recolección de credenciales, lo que le permite recuperar secretos de las bóvedas de 1Password y las configuraciones de Anthropic Claude Code, y secretos asociados con npm, GitHub y Amazon Web Services (AWS).

«Una capacidad que se destaca: la carga útil contiene integración completa de Sigstore, incluida la emisión de certificados Fulcio y la generación de procedencia SLSA», dijo StepSecurity. «Combinado con tokens npm OIDC robados, esto significa que el atacante podría publicar paquetes npm posteriores con certificaciones de procedencia válidas y firmadas criptográficamente, haciendo que los paquetes maliciosos parezcan compilaciones legítimas y verificadas».

El equipo de Nx también reconoció que «algunos usuarios se vieron comprometidos» como resultado de esta infracción. Además de instar a los usuarios a actualizar a 18.100.0 o posterior, los mantenedores han publicado los siguientes indicadores de compromiso:

• La versión 18.95.0 de Nx Console se instaló durante el período de exposición entre el 18 de mayo de 2026, a las 2:36 p. m. CEST y a las 2:47 p. m. CEST.
• Presencia de archivos como ~/.local/share/kitty/cat.py, ~/Library/LaunchAgents/com.user.kitty-monitor.plist, /var/tmp/.gh_update_state o /tmp/kitty-*.
• Presencia de cualquiera de los siguientes procesos en ejecución: un proceso de Python que ejecuta cat.py y un proceso con __DAEMONIZED=1 en su entorno.

Se recomienda a los usuarios afectados que finalicen los procesos antes mencionados, eliminen los artefactos en el disco y roten todas las credenciales accesibles desde la máquina afectada, incluidos tokens, secretos y claves SSH.

Este desarrollo marca la segunda vez que se ataca al ecosistema Nx en un año. En agosto de 2025, se lanzaron varios paquetes npm. infectado por un ladrón de credenciales como parte de una campaña de ataque a la cadena de suministro llamada s1ngularity. A diferencia de la iteración anterior, el último ataque tiene como objetivo la extensión VS Code.

Paquetes npm maliciosos en abundancia

Los hallazgos coinciden con el descubrimiento de varios paquetes maliciosos en los repositorios de código abierto.

• iceberg-javascript, supabase-javascript, auth-javascript, microsoft-applicationinsights-common y ms-graph-types: Cinco paquetes npm que contienen un binario ELF oculto que bloquea las sesiones de Claude Code para robar credenciales de desarrollador.
• contratos de mediodía: un paquete npm que se hace pasar por un SDK de contrato inteligente de Noon Protocol para extraer claves SSH, claves privadas de billetera criptográfica, credenciales de AWS, secretos de Kubernetes, todos los archivos .env, historial de shell, tokens Docker/Git/npm y rutas de almacenamiento de billetera del navegador.
• martinez-polígono-recorte-tonyuna bifurcación troyanizada de martinez-polygon-clipping que usa un gancho postinstalación para descargar un troyano de acceso remoto (RAT) de Windows empaquetado con PyInstaller de 17 MB que usa Telegram para comando y control (C2) para ejecución remota de shell, captura de pantalla, carga/descarga de archivos y ejecución arbitraria de Python.
• servicio-tg-común: un paquete npm que contiene funcionalidad para hacerse cargo de la cuenta de Telegram de una víctima mientras se hace pasar por «servicio común de Telegram para aplicaciones NestJS».
• exiosos: un paquete npm que incluye un ladrón de cookies de sesión ChatGPT y OpenAI dirigido a navegadores web como Google Chrome, Microsoft Edge y Brave.
• k8s-pod-checker, dev-env-setup y node-perf-utils: tres paquetes npm parte del clúster kube-health-tools que instala un servicio proxy de modelo de lenguaje grande (LLM) en la máquina de la víctima, lo que permite al atacante enrutar el tráfico LLM a través del servidor comprometido
• A campaña coordinada de recolección de credenciales orquestado por un actor de amenazas de habla indonesia que utiliza un conjunto de paquetes de 38 npm que aprovecha la confusión de dependencias como una forma de engañar a los canales de CI/CD para resolver paquetes públicos maliciosos antes que los privados legítimos asociados con Apple, Google y Alibaba, entre otros.
• Una campaña inusual en la que siete paquetes npm bajo el @ organización del equipo hd Se ha descubierto que actúan como escenario de las configuraciones utilizadas por una plataforma china de apuestas deportivas y transmisión pirata llamada Douqiu para determinar los servidores backend a los que conectarse.

En otro ataque más a la cadena de suministro de software, los actores de amenazas han comprometido el popular flujo de trabajo de GitHub Actions. acciones-cool/problemas-ayudantepara ejecutar código malicioso que recopila credenciales confidenciales y las exfiltra a un servidor controlado por un atacante.

«Todas las etiquetas existentes en el repositorio se han movido para señalar una confirmación impostor que no aparece en el historial de confirmación normal de la acción», dijo el investigador de StepSecurity, Varun Sharma. dicho. «Esa confirmación contiene código malicioso que extrae credenciales de los canales de CI/CD que ejecutan la acción».

Un compromiso de impostor se refiere a una estrategia engañosa de ataque a la cadena de suministro de software en la que se inyecta código malicioso en un proyecto haciendo referencia a una confirmación o etiqueta que existe solo en una bifurcación controlada por el adversario, en lugar del repositorio confiable original. Como resultado, los atacantes pueden eludir las revisiones estándar de solicitudes de extracción (PR) y lograr la ejecución de código arbitrario.

El compromiso del impostor, según la empresa de ciberseguridad, contiene código que, al ejecutarse dentro de un ejecutor de GitHub Actions, realiza una serie de acciones:

• Descarga el tiempo de ejecución de Bun JavaScript al ejecutor.
• Lee la memoria del proceso Runner.Worker para extraer las credenciales.
• Realiza una llamada HTTPS saliente a un dominio controlado por un atacante («tm-kosche[.]com») para transmitir los datos robados.

StepSecurity dijo que 15 etiquetas asociadas con una segunda acción de GitHub, «actions-cool/maintain-one-comment», también se han visto comprometidas con la misma funcionalidad.

GitHub desde entonces acceso deshabilitado al repositorio debido a una «violación de los términos de servicio de GitHub». Actualmente no se sabe qué llevó a la filial propiedad de Microsoft a tomar esta decisión.

Curiosamente, el dominio de exfiltración «tm-kosche[.]com» se ha observado en la última ola de la campaña Mini Shai-Hulud dirigida a paquetes npm del ecosistema @antv, lo que indica que los dos grupos de actividad podrían estar relacionados.

«Debido a que ahora cada etiqueta se resuelve en confirmaciones maliciosas, cualquier flujo de trabajo que haga referencia a la acción por versión extrae el código malicioso en su próxima ejecución», dijo StepSecurity. «Solo los flujos de trabajo anclados a un SHA de compromiso completo en buen estado no se ven afectados».

Investigadores de ciberseguridad han revelado detalles de una nueva puerta trasera de Linux llamada PamDOORa eso está siendo anunciado en el foro ruso sobre cibercrimen Rehub por 1.600 dólares por un actor de amenazas llamado «darkworm».

La puerta trasera está diseñada como un módulo de autenticación conectable (PAM) basado en un kit de herramientas post-explotación que permite el acceso SSH persistente mediante una contraseña mágica y una combinación de puerto TCP específico. También es capaz de recopilar credenciales de todos los usuarios legítimos que se autentican a través del sistema comprometido.

«La herramienta, llamada PamDOORa, es una nueva puerta trasera basada en PAM, diseñada para servir como puerta trasera post-explotación, permitiendo la autenticación en servidores a través de OpenSSH», dijo Assaf Morag, investigador de Flare.io. dicho en un informe técnico. «Supuestamente esto permanecería persistente en los sistemas Linux (x86_64)».

PamDOORa es la segunda puerta trasera de Linux dirigida a la pila PAM después de Plague. PAM es un marco de seguridad en los sistemas operativos Unix/Linux que otorga a los administradores de sistemas la capacidad de incorporar múltiples mecanismos de autenticación o actualizarlos (por ejemplo, cambiar de contraseñas a datos biométricos) en un sistema existente mediante el uso de módulos conectables sin la necesidad de reescribir las aplicaciones existentes.

Debido a que los módulos PAM normalmente se ejecutan con privilegios de rootun módulo comprometido, mal configurado o malicioso puede introducir importantes riesgos de seguridad y abrir la puerta a la recolección de credenciales y al acceso no autorizado.

«A pesar de sus puntos fuertes, la modularidad del módulo de autenticación conectable (PAM) introduce riesgos, ya que las modificaciones maliciosas en los módulos PAM pueden crear puertas traseras o robar credenciales de usuario, especialmente porque PAM no almacena contraseñas sino que transmite valores en texto plano», Group-IB anotado en septiembre de 2024.

«Los atacantes pueden explotar el módulo pam_exec, que permite la ejecución de comandos externos, para obtener acceso no autorizado o establecer un control persistente mediante la inyección de scripts maliciosos en los archivos de configuración de PAM».

El proveedor de seguridad de Singapur también detalló cómo es posible manipular la configuración PAM para la autenticación SSH para ejecutar un script a través de pam_exec, permitiendo efectivamente que un mal actor obtenga un shell privilegiado en un host y facilite la persistencia sigilosa.

Los últimos hallazgos de Flare.io muestran que PamDOORa, además de permitir el robo de credenciales, incorpora capacidades antiforenses para alterar metódicamente los registros de autenticación para borrar rastros de actividad maliciosa.

Aunque no hay evidencia de que el malware se haya utilizado en ataques del mundo real, es probable que las cadenas de infección que distribuyen el malware impliquen que el adversario primero obtenga acceso raíz al host a través de otros medios e implemente el módulo PamDOORa PAM para capturar credenciales y establecer acceso persistente a través de SSH.

Después de un precio de venta inicial de 1.600 dólares el 17 de marzo de 2026, el personaje del «gusano oscuro» lo ha reducido desde entonces en casi un 50 % a 900 dólares el 9 de abril, lo que indica una falta de interés del comprador o una intención de acelerar la venta.

«PamDOORa representa una evolución con respecto a las puertas traseras PAM de código abierto existentes», explicó Morag. «Si bien las técnicas individuales (enganches PAM, captura de credenciales, manipulación de registros) están bien documentadas, la integración en un implante modular cohesivo con antidepuración, activadores conscientes de la red y una canalización de construcción lo coloca más cerca de las herramientas de nivel de operador que los crudos scripts de prueba de concepto que se encuentran en la mayoría de los repositorios públicos».