Múltiples ataques a la cadena de suministro de software han afectado al ecosistema npm, y los actores de amenazas utilizan versiones maliciosas y envenenadas de más de 50 paquetes legítimos para distribuir un ladrón de información basado en Rust y un gusano que se propaga automáticamente, respectivamente.

De acuerdo a JFrogel ladrón de información «elimina todos los secretos que puede encontrar en la máquina de un desarrollador, se esconde detrás de un rootkit del núcleo eBPF y responde a su operador a través de Tor».

El ladrón también utiliza las credenciales robadas como mecanismo de propagación, generando similitudes con el infame gusano Shai-Hulud. El nuevo malware tiene un nombre en clave gusano de hierro por la empresa de seguridad de la cadena de suministro de software. Al publicarse en el registro npm en forma de paquetes troyanizados, este enfoque resulta en un ataque autorreplicante.

La actividad maliciosa se remonta a una cuenta npm comprometida llamada «asteroide«, que se ha descubierto que publica versiones de paquetes que contienen el binario Rust ELF que se ejecuta a través de un gancho de preinstalación.

El malware se dirige a 86 variables de entorno, varios archivos que pueden contener credenciales asociadas con OpenAI Codex, Anthropic, Claude, Google Gemini, Cursor, Amazon Web Services (AWS), Docker, Kubernetes y npm, configuraciones de bóveda y archivos de billetera de criptomonedas Exodus.

Una peculiaridad inusual que vale la pena mencionar aquí es que el ladrón incluye una lógica para que el componente de robo de datos de la billetera omita la billetera del propio actor de la amenaza. Al momento de escribir, el billetera de criptomonedas está vacío y no se han registrado transacciones.

JFrog describió a IronWorm como «un arma de cadena de suministro creada para encontrar secretos, modificar proyectos e inyectar código malicioso para autopropagarse en GitHub». Las confirmaciones maliciosas, que abarcan nueve organizaciones de GitHub, se introdujeron bajo el nombre del autor «claude» («claude@users.noreply.github.com») en un intento de imitar el chatbot de inteligencia artificial (IA) de Anthropic.

«El paquete malicioso npm fue publicado por asteroiddao; asteroiddao corresponde a la organización asteroid-dao GitHub; y ocrybit es miembro de esa organización, así como de organizaciones Arweave relacionadas», explicó la compañía.

«El malware robó las credenciales de ocrybit y las usó para enviar confirmaciones a través de repositorios a los que podía acceder. Esas confirmaciones colocaron malware en otros paquetes, que luego podrían publicarse e infectar al siguiente desarrollador. Y luego desapareció».

Es más, la carga útil maliciosa está equipada para intercambiar los flujos de trabajo de GitHub Actions existentes por uno que sea capaz de recolectar los secretos, escribirlos en un archivo de apariencia inofensiva y cargarlo como un artefacto de compilación, eliminando así la necesidad de un servidor externo de comando y control (C2).

Las capacidades del malware no terminan ahí. En entornos de CI, abusa del flujo de publicación confiable de npm para obtener tokens de corta duración para enviar versiones envenenadas que contienen el malware al registro.

También incorpora una carga útil eBPF que funciona como un rootkit a nivel de kernel para ocultar procesos y frustrar análisis. Sin embargo, en los sistemas donde el bloqueo del kernel está habilitado, los trucos para ocultar procesos fallan y los supuestos procesos y sockets vuelven a ser visibles.

El gusano miasma emerge nuevamente

La revelación surge como Laboratorios Endor y PasoSeguridad arrojar luz sobre una distinta campaña de ataque a la cadena de suministro que ha comprometido 57 paquetes npm en más de 286 versiones maliciosas para servir una nueva variante del gusano Miasma, que previamente infectó 32 paquetes en más de 90 versiones bajo el espacio de nombres npm @redhat-cloud-services en 72 segundos a principios de esta semana.

Algunos de los paquetes afectados se enumeran a continuación:

• ai-sdk-ollama
• autotel
• esperando
• analizador de efectos
• complemento-eslint-esperando
• historias-ejecutables-ciprés
• http-uploader-dev
• montado
• nodo-env-resolver
• nodo-env-resolver-aws

Los datos robados a través del malware se filtran a una cuenta de GitHub ahora inaccesible «liuende501«, que actuó como un punto de exfiltración. Se almacenaron hasta 236 repositorios en la cuenta. Actualmente no se sabe si GitHub eliminó la cuenta o si el propio actor de la amenaza la eliminó.

«Esta ola utiliza una técnica que llamamos ‘Phantom Gyp’: en lugar de los scripts de ciclo de vida previos o posteriores a la instalación que las herramientas de seguridad normalmente monitorean, el atacante abusa de un archivo vinculante.gyp de 157 bytes para activar la ejecución del código durante la instalación de npm, evitando por completo la mayoría de los controles de seguridad de los scripts de instalación», dijo el investigador de StepSecurity, Sai Likhith.

Como en el caso de Miasmala cadena de ataque está diseñada para descargar e instalar el tiempo de ejecución de Bun JavaScript, usándolo para cargar un recolector de credenciales integral diseñado para extraer secretos de AWS, Google Cloud, Microsoft Azure, HashiCorp Vault, Docker, Kubernetes, GitHub Actions, npm, RubyGems, PyPI, SSH, administradores de contraseñas y asistentes de IA.

«La capacidad más novedosa y preocupante de esta variante es su objetivo en configuraciones de asistente de codificación de IA», dijo la compañía. «El malware inyecta archivos persistentes de puerta trasera en repositorios de proyectos que se ejecutan cada vez que un desarrollador abre el proyecto en su IDE asistido por IA».

Se recomienda a los desarrolladores que hayan instalado una versión afectada que roten las credenciales, desactiven los scripts de instalación y las reconstrucciones nativas de forma predeterminada y se aseguren de que los paquetes estén fijados con hashes de integridad.

En una actualización compartida esta semana, Red Hat reveló que la causa principal detrás del incidente de la cadena de suministro de Miasma fue probablemente una cuenta de GitHub comprometida que se utilizó para enviar confirmaciones no autorizadas a los repositorios de la organización RedHatInsights GitHub.

«La carga útil operaba en Linux, macOS y Windows descargando dinámicamente el tiempo de ejecución de Bun correcto para cada plataforma, aunque los ejecutores de CI/CD de Linux parecían ser el objetivo principal», explicó Microsoft. dicho de la campaña.

«En los sistemas de desarrollo, el malware robó claves Secure Shell (SSH), credenciales de interfaz de línea de comandos (CLI), datos del navegador y de la billetera, mientras que en entornos CI/CD extrajo la memoria del ejecutor de GitHub Actions en busca de secretos, escaló privilegios usando sudo sin contraseña y volvió a publicar paquetes envenenados con niveles de cadena de suministro falsificados para artefactos de software (SLSA) para continuar con la propagación descendente».

Se considera que la carga útil Miasma es un derivado del gusano Shai-Hulud utilizado por EquipoPCP en campañas recientes, introduciendo cambios en gran medida «cosméticos» manteniendo similar la funcionalidad subyacente. A pesar de la superposición en el oficio, la atribución del último conjunto de ataques sigue sin estar clara, dado que TeamPCP ha publicado públicamente el código Shai-Hulud.

Desde entonces, OX Security ha descubierto etapas adicionales en la cadena de ataque de Miasma, incluidas búsquedas de confirmaciones de GitHub que contienen la cadena «firedalazer» (que reemplaza el punto muerto «FIRESCALE» previamente marcado) para recuperar otra carga útil, un archivo JavaScript («index.js») que contiene una versión alternativa del gusano Shai-Hulud, transformando efectivamente la infección en un bucle perpetuo.

En este caso, los datos robados se filtran a repositorios públicos de GitHub, cada uno con la descripción «Miasma: The Spreading Blight» o «Miasma – The Spreading Blight». Es importante señalar aquí que la versión anterior dice «Miasma: The Spreading Blight», que no tiene un espacio entre Miasma y el símbolo «:». Hay actualmente 82 repositorios de este tipo creado en las cuentas de usuario «0tabek16» y «windy629».

«El actor de amenazas puede cambiar dinámicamente las confirmaciones de ‘firedalazer’ en GitHub, haciendo que las nuevas versiones del malware sean más adaptables y más sofisticadas», afirman los investigadores de seguridad Moshe Siman Tov Bustan y Nir Zadok. dicho.

«Esto convierte a GitHub en algo más peligroso que un punto muerto. Es un C2 adaptable, uno que se apoya en una plataforma confiable y ampliamente incluida en la lista blanca, haciendo que la detección a nivel de red sea casi inútil. La mayoría de las herramientas de seguridad no están configuradas para tratar el tráfico de GitHub como sospechoso. El actor de la amenaza lo sabe».

Los investigadores de ciberseguridad han detectado una nueva campaña de malspam que utiliza el dominio DoubleClick de Google como una forma de evadir la detección y, en última instancia, entregar un troyano de acceso remoto (RAT) llamado DesckVB RAT.

«Antes de que la víctima llegue a la infraestructura controlada por el atacante, el señuelo pasa por DoubleClick, un dominio legítimo propiedad de Google que es menos probable que muchas herramientas de seguridad traten como sospechoso», afirman los investigadores de Huntress, Anna Pham y Adam Mooney. dicho en un informe compartido con The Hacker News.

«A partir de ahí, la víctima pasa a un kit de malspam que se personaliza sobre la marcha utilizando la dirección de correo electrónico de la víctima, incorporando dinámicamente la marca de la empresa y los detalles de la ubicación para que la página parezca convincente sin necesidad de que los operadores creen un señuelo para cada objetivo».

Lo que hace que este ataque sea digno de mención es que elimina la necesidad de tener un kit personalizado para cada organización objetivo, lo que hace que estas operaciones sean más escalables y rentables. El objetivo final de la campaña es eliminar DesckVB RAT, un troyano basado en .NET que ha estado activo desde febrero de 2026.

El ataque comienza cuando un usuario desprevenido abre un archivo HTML adjunto a un correo electrónico de phishing. El archivo activa una redirección de meta-actualización del navegador a una URL de seguimiento de clics de Google DoubleClick Campaign Manager, desde donde se dirige al usuario a otro redirector, que decodifica la dirección de correo electrónico codificada en Base64 y lleva a la víctima a una página de destino que contiene un botón «Descargar PDF».

Al hacer clic en el botón, el servidor responde con un archivo ZIP que inicia el resto de la cadena de infección. Esto se logra mediante un cargador de JavaScript, cuya principal responsabilidad es recuperar y ejecutar un .NET RAT mientras pasa desapercibido. El script extrae y ejecuta un script de PowerShell, que luego recupera un cargador .NET de un servidor externo.

El cargador actúa como un dispositivo que verifica que no está siendo analizado, neutraliza los controles de seguridad de la máquina, configura la persistencia y, finalmente, descarga y ejecuta la carga útil RAT mediante el uso de una técnica llamada proceso hueco que implica inyectar el malware en procesos firmados por Microsoft.

Una vez iniciado, el troyano se comunica con un servidor de comando y control (C2) a través de sockets TCP sin formato, realiza reconocimiento del sistema y configura exclusiones de Microsoft Defender. El troyano también parchea la interfaz de escaneo antimalware (AARMI) y seguimiento de eventos para Windows (ETW) en el nivel API nativo desde el principio en un esfuerzo por cegar la telemetría de Windows antes de que se establezca la persistencia en el host configurando las entradas del Registro Run y ​​RunOnce, además de colocar un cargador responsable de iniciar el RAT en la carpeta de Inicio del usuario.

El malware viene con capacidades para extraer datos, ejecutar comandos y desplegar cargas útiles adicionales, otorgando a los atacantes control total sobre las máquinas infectadas, al mismo tiempo que toma medidas para pasar desapercibido al finalizar y reiniciar la máquina si detecta una herramienta de análisis o determina que se está ejecutando en un entorno aislado.

«Este es un fuerte recordatorio de por qué es importante la defensa en profundidad», dijo Huntress. «Configurar un objeto de política de grupo (GPO) en Active Directory para forzar la apertura predeterminada de archivos de script como .vbs, .hta y .js en el Bloc de notas puede detener a un actor de amenazas en la primera etapa, evitando que se eliminen cargas adicionales».

«En el frente de la seguridad del correo electrónico, las organizaciones deberían considerar implementar registros DMARC, DKIM y SPF para reducir la probabilidad de que correos electrónicos falsificados o maliciosos lleguen a los usuarios finales. Más allá de eso, una solución de puerta de enlace de correo electrónico capaz de proteger archivos adjuntos y enlaces antes de la entrega agrega otra capa significativa de protección».

Los investigadores de ciberseguridad han descubierto un exploit de denegación de servicio remoto que afecta a los principales servidores web, incluidos NGINX, Apache HTTPD, Microsoft IIS, Envoy y Cloudflare Pingora.

La vulnerabilidad ha sido nombrada en código. Bomba HTTP/2 por California.

«El comportamiento vulnerable existe en la configuración HTTP/2 predeterminada de cada servidor», dijo la compañía, y agregó que fue descubierto por OpenAI Codex encadenando dos técnicas conocidas: una bomba de compresión y una retención estilo Slowloris.

«La bomba apunta a HPACK, el esquema de compresión de encabezados de HTTP/2: un byte en el cable se convierte en una asignación de encabezado completa en el servidor, que se repite miles de veces por solicitud», agregó Calif. «La retención es una ventana de control de flujo de cero bytes que evita que el servidor libere nada».

HPACK es un algoritmo de compresión de encabezados dedicado para HTTP/2 que se utiliza para comprimir metadatos de solicitudes y respuestas utilizando la codificación Huffman que da como resultado una reducción promedio del 30 % en el tamaño del encabezado. También está diseñado para ser resistente a ataques como DELITO (abreviatura de «Compression Ratio Info-leak Made Easy») que puede filtrar cookies de autenticación de encabezados comprimidos.

Slowloris, por otro lado, es un tipo de ataque de denegación de servicio (DoS) que permite a un actor de amenazas abrumar un servidor objetivo abriendo y manteniendo muchas conexiones HTTP simultáneas entre el atacante y el objetivo. Es un ataque a la capa de aplicación.

HTTP/2 Bomb está inspirado en varios enfoques conocidos como HPACK Bomb (también conocido como CVE-2016-6581), que se reveló por primera vez en 2016, así como CVE-2025-53020una vulnerabilidad de agotamiento de la memoria en la implementación HTTP/2 de Apache httpd y dos fallas DoS en el servidor Apache HTTP a través de marcos de CONTINUACIÓN diseñados (CVE-2016-8740) y hambre de hilo de trabajo (CVE-2016-1546) en una conexión HTTP/2.

«Lo nuevo aquí es de dónde viene la amplificación», dijo Calif. «La bomba clásica introduce un valor grande en la tabla y hace referencia a él repetidamente, por lo que los servidores aprendieron a limitar el tamaño total del encabezado decodificado. Nuestra variante va en sentido contrario: el encabezado está casi vacío y la amplificación proviene de la contabilidad por entrada que el servidor asigna a su alrededor. El límite de tamaño decodificado nunca se activa porque no hay casi nada que decodificar».

En un escenario de ataque hipotético, una computadora doméstica con una conexión de 100 Mbps tiene el potencial de hacer que un servidor vulnerable sea inaccesible en cuestión de segundos. Es más, un solo cliente puede consumir y retener 32 GB de memoria del servidor contra Apache HTTPD y Envoy en aproximadamente 20 segundos.

Para contrarrestar la vulnerabilidad, se recomienda aplicar las siguientes mitigaciones:

• NGINX: actualice a 1.29.8+, que agrega la directiva max_headers con un valor predeterminado de 1000. Si la actualización no es una opción, se recomienda deshabilitar HTTP/2 con http2 desactivado.
• Apache HTTPD – Corregido en mod_http2 v2.0.41. Si la actualización no es una opción, se recomienda configurar los protocolos http/1.1 para deshabilitar HTTP/2.
• Microsoft IIS, Envoy y Cloudflare Pingora: no hay ningún parche disponible al momento de escribir este artículo.

«El error más profundo es que las especificaciones enmarcan el riesgo de memoria puramente como una relación de amplificación, y la relación es sólo la mitad de la ecuación», dijo Calif. «Un amplificador 70:1 es inofensivo si la memoria se libera cuando se completa la solicitud. Se convierte en un ataque porque HTTP/2 permite al cliente mantener la conexión abierta casi de forma gratuita, fijando cada byte asignado durante el tiempo que desee».

Los ejecutivos empresariales de hoy están atravesando un panorama complejo de desafíos impulsados ​​por la IA, pero ninguno es más urgente que la rápida escalada del fraude generado por la IA.

Los estafadores están utilizando la IA generativa como arma para automatizar la suplantación de identidad y producir en masa identidades sintéticas a una escala y un ritmo que están dejando obsoletas las defensas de larga data de las empresas. Este ya no es un juego lento del gato y el ratón; es una carrera armamentista de alta velocidad.

Para proteger la integridad de sus plataformas, los líderes empresariales (particularmente en sectores de infraestructura crítica) deben ir más allá de las evaluaciones de riesgos periódicas y comenzar a aprovechar una nueva generación de herramientas que permitan que las defensas se repitan en días en lugar de meses.

La IA generativa como multiplicador del fraude

Mientras que las empresas legítimas utilizan la IA generativa para lograr eficiencia, los estafadores la aprovechan para escalar sus ataques. Estamos siendo testigos de un aumento de 100 veces en las identidades sintéticas y de un aumento de siete veces en las suplantaciones de identidad impulsadas por deepfake en los últimos 24 meses. El Centro de Servicios Financieros de Deloitte predice Pérdidas por fraude habilitadas por IA podría alcanzar los 40.000 millones de dólares en Estados Unidos para 2027, frente a los 12.300 millones de dólares en 2023.

Esto ya no es sólo un problema técnico administrativo; se ha convertido en una de las principales preocupaciones para el liderazgo de bancos, fintechs y empresas de telecomunicaciones. Tres cuartas partes (72%) de Los líderes empresariales anticipan El fraude generado por IA, incluidos los deepfakes, será uno de los principales desafíos operativos en 2026, según un informe de Experian. Casi la mitad (46%) de las empresas encuestadas por Incode en 2025 reportado un aumento anual en el fraude de IA generativa y deepfake.

Los malos actores ahora pueden perpetrar fraude a escala atacando a múltiples víctimas al mismo tiempo utilizando los mismos o menos recursos. En consecuencia, lo que está en juego ha aumentado rápidamente. Las empresas ahora deben encontrar formas más efectivas de distinguir entre la realidad y la ficción antes de que estos ataques comprometan la confianza, los ingresos y la continuidad operativa.

La nueva carrera armamentista

La prevención del fraude siempre ha sido un juego constante de saltos. Ahora, sin embargo, las empresas deben adoptar defensas muy avanzadas mientras trabajan para frustrar a los estafadores que tienen acceso a las mismas herramientas de inteligencia artificial y no tienen barreras legales.

Según algunas estimaciones, el 80% del fraude es fácilmente detectable, mientras que el 20% restante requiere experiencia de alto nivel. Ahí es donde falla el desempeño de la mayoría de los proveedores. Los estafadores sofisticados no sólo son más capaces de suplantar identidades, sino que también están cada vez más conectados en red, compartiendo inteligencia sobre cómo eludir defensas específicas de la empresa.

Agilidad como principal métrica de seguridad

En este entorno, el “Benchmark de 7 días” es fundamental. Un modelo de defensa debe poder identificar un nuevo vector de ataque, volver a entrenar sus conjuntos de datos e implementar un modelo de mitigación actualizado en un plazo de 7 a 10 días.

Una de las razones por las que tantas organizaciones siguen siendo vulnerables a esta nueva generación de ataques es que dependen de proveedores externos cuyos ciclos de actualización pueden tardar meses en probarse e implementarse. La defensa moderna requiere un enfoque como visión profunda: una combinación de aprendizaje automático, comprobaciones de comportamiento y comprobaciones de dispositivos que identifican inyecciones de cámaras y fraudes de documentos sintéticos y verifican que el usuario es una persona real.

Lista de verificación de defensa: 4 preguntas para cada proveedor

Para reducir esta “brecha de velocidad”, los ejecutivos deben observar más de cerca qué tan bien equipados están sus proveedores para abordar esta nueva generación de amenazas. Aquí hay cuatro preguntas puntuales para explorar:

1. «¿Qué tan precisa es su capacidad de reconocimiento facial? ¿Y qué certificaciones de terceros posee para entornos móviles?» Los ejecutivos deben buscar soluciones que hayan sido validadas de forma independiente según los estándares internacionales más rigurosos para pruebas de falsificación biométrica, como iBeta Nivel 3 cumplimiento tanto en iOS como en Android, que simulan atacantes con buenos recursos que utilizan máscaras hiperrealistas de nivel profesional.
   • Si bien muchos proveedores luchan por lograr la coherencia en varios dispositivos, una solución de primer nivel logrará una tasa de error del 0 %. (En un Instituto Nacional de Estándares y Tecnología de 2024 (NIST) evaluación de 158 desarrolladores diferentes, utilizando galerías de fotografías policiales, Visa y Border, Incode ocupa el puesto número 1 de todos los proveedores de verificación de identidad de soluciones completas).
   • Además, evalúe la precisión y el rendimiento de los algoritmos utilizados en el análisis facial en una variedad de casos de uso, incluidos estimación de edadgarantizando que la tecnología sea imparcial y altamente precisa para diversas poblaciones de usuarios. (Una vez más, Incode obtuvo el primer puesto marcas en Evaluación de la tecnología de análisis facial del NIST para lograr las tasas más bajas de error y falsos positivos).
2. «¿Cómo se miden e informan sus propias tasas de error?» Exija un enfoque riguroso y auditado que proporcione métricas claras sobre falsos positivos y falsos negativos para cada sesión.
3. «¿Es usted propietario de su tecnología o tiene licencia?» Esto determina la velocidad de iteración. Las actualizaciones deberían realizarse internamente en unos días, no en ciclos de desarrollo de meses dictados por un tercero.
4. “¿Cómo comparte su red inteligencia para detectar a los reincidentes?” Pregunte si el proveedor puede compartir datos biométricos, VPN y de red entre toda su base de clientes para bloquear proactivamente a los estafadores conocidos antes de que lleguen a su sistema.

(Para obtener una guía más completa sobre cómo seleccionar un proveedor de verificación de identidad, recomendamos obtener una copia gratuita del Cuadrante Mágico de Gartner para la verificación de identidad.)

Proteja sus defensas contra los estafadores basados ​​en IA

La era de tratar la verificación de identidad como una casilla de verificación de cumplimiento estática ha terminado. A medida que Internet hace que la suplantación de identidad sea más fácil que nunca, corresponde a los líderes garantizar que sus defensas puedan evolucionar a la velocidad del adversario.

Audite su ecosistema de proveedores hoy: exija tecnología patentada que se repita en días, insista en certificaciones independientes de primer nivel para entornos móviles y priorice redes que compartan inteligencia en tiempo real. Las organizaciones que traten la confianza como una capacidad estratégica central prosperarán; aquellos que sigan siendo reactivos se encontrarán cada vez más vulnerables en un mundo donde la realidad se vuelve cada vez más maleable.

Fernanda Sottil es directora senior de estrategia de Incode Technologies, una empresa líder en verificación de identidad.

Más información: Descubra cómo Incode ayuda a las organizaciones líderes a eliminar el fraude antes de que suceda.

Exim ha publicado actualizaciones de seguridad para abordar un problema de seguridad grave que afecta a ciertas configuraciones y que podría permitir la corrupción de la memoria y la posible ejecución de código.

Exim es un Agente de transferencia de correo (MTA) de código abierto diseñado para sistemas tipo Unix para recibir, enrutar y entregar correo electrónico.

La vulnerabilidad, rastreada como CVE-2026-45185, también conocida como Dead.Letter, se ha descrito como una vulnerabilidad de uso después de la liberación en el análisis del cuerpo del mensaje de transmisión de datos binarios (BDAT) de Exim cuando GnuTLS maneja una conexión TLS.

«La vulnerabilidad se activa durante el manejo del cuerpo del mensaje BDAT cuando un cliente envía una alerta TLS close_notify antes de que se complete la transferencia del cuerpo, y luego continúa con un byte final en texto sin cifrar en la misma conexión TCP», Exim dicho en un aviso publicado hoy.

«Esta secuencia de eventos puede hacer que Exim escriba en un buffer de memoria que ya ha sido liberado durante la desconexión de la sesión TLS, lo que lleva a la corrupción del montón. Un atacante sólo necesita poder establecer una conexión TLS y usar la extensión SMTP CHUNKING (BDAT). «

El problema afecta a todas las versiones de Exim desde 4.97 hasta 4.99.2 inclusive. Dicho esto, solo afecta a las compilaciones que usan USE_GNUTLS=yes, lo que significa que las compilaciones que dependen de otras bibliotecas TLS como OpenSSL no se ven afectadas.

A Federico Kirschbaum, jefe del Laboratorio de Seguridad de XBOW, una plataforma autónoma de pruebas de ciberseguridad, se le atribuye el mérito de descubrir e informar la falla el 1 de mayo de 2026.

«Durante el cierre de TLS, Exim libera su buffer de transferencia TLS, pero un contenedor de recepción BDAT anidado aún puede procesar bytes entrantes y terminar llamando a ungetc(), que escribe un solo carácter (\n) en la región liberada», Kirschbaum dicho. «Esa escritura de un byte aterriza en los metadatos del asignador de Exim, corrompiendo la forma interna del asignador; luego el exploit aprovecha esa corrupción para obtener más primitivos».

XBOW describió la vulnerabilidad como «uno de los errores de mayor calibre» descubiertos en Exim hasta la fecha, y agregó que activarla casi no requiere configuración especial en el servidor.

La deficiencia se solucionó en la versión 4.99.3. Se recomienda a todos los usuarios que actualicen lo antes posible. No existen mitigaciones que resuelvan la vulnerabilidad.

«La solución garantiza que la pila de procesamiento de entrada se restablezca limpiamente cuando se recibe una notificación de cierre TLS durante una transferencia BDAT activa, evitando que se utilicen los punteros obsoletos», señaló Exim.

Esta no es la primera vez que se revelan errores críticos de uso después de la liberación en Exim. A finales de 2017, Exim parchó una vulnerabilidad de uso después de la liberación en el demonio SMTP (CVE-2017-16943puntuación CVSS: 9,8) que atacantes no autenticados podrían haber aprovechado para lograr la ejecución remota de código mediante comandos BDAT especialmente diseñados y tomar el control del servidor de correo electrónico.

Los investigadores de ciberseguridad han señalado una nueva versión del trucomo Troyano bancario de Android que utiliza The Open Network (TON) para comando y control (C2).

Se ha observado que la nueva variante, observada por ThreatFabric entre enero y febrero de 2026, se dirige activamente a usuarios de banca y billeteras de criptomonedas en Francia, Italia y Austria.

«TrickMo se basa en un APK cargado en tiempo de ejecución (dex.module), utilizado también por la variante anterior, pero actualizado con nuevas características que añaden nuevas funcionalidades orientadas a la red, incluyendo reconocimiento, túnel SSH y capacidades de proxy SOCKS5 que permiten que los dispositivos infectados funcionen como pivotes de red programables y nodos de salida de tráfico», la empresa holandesa de seguridad móvil dicho en un informe compartido con The Hacker News.

TrickMo es el nombre asignado a un malware de adquisición de dispositivos (DTO) que ha estado activo desde finales de 2019. Fue señalado por primera vez por CERT-Bund e IBM X-Force, describiendo su capacidad para abusar de los servicios de accesibilidad de Android para secuestrar contraseñas de un solo uso (OTP).

También está equipado con una amplia gama de funciones para realizar phishing para obtener credenciales, registrar pulsaciones de teclas, grabar pantalla, facilitar la transmisión de pantalla en vivo, interceptar mensajes SMS, lo que esencialmente otorga al operador un control remoto completo del dispositivo.

Las últimas versiones, denominadas TrickMo C, se distribuyen a través de sitios web en fase y aplicaciones de cuentagotas, estas últimas sirven como conducto para un APK cargado dinámicamente («dex.module») que se recupera en tiempo de ejecución desde la infraestructura controlada por el atacante. Un cambio notable en la arquitectura implica el uso de la cadena de bloques descentralizada TON para comunicaciones C2 sigilosas.

«TrickMo lleva un proxy TON nativo integrado que el APK del host inicia en un puerto loopback al inicio del proceso», dijo ThreatFabric. «El cliente HTTP del bot está conectado a través de ese proxy, por lo que cada solicitud de comando y control saliente se dirige a un nombre de host .adnl y se resuelve a través de la superposición TON».

Las aplicaciones dropper que contienen el malware se hacen pasar por versiones de TikTok para adultos a través de Facebook, mientras que el malware real se hace pasar por los servicios de Google Play.

• com.app16330.core20461 o com.app15318.core1173 (Cuentagotas)
• tío.collop416.wifekin78 o nibong.lida531.butler836 (TrickMo)

Mientras que las iteraciones anteriores de «dex.module» implementaron la funcionalidad de control remoto basada en accesibilidad a través de un canal basado en socket.io, la nueva versión utiliza un subsistema operativo de red que convierte el malware en una herramienta para un punto de apoyo administrado en lugar de un troyano bancario tradicional.

El subsistema admite comandos como curl, dnslookup, ping, telnet y traceroute, lo que le brinda al atacante un «equivalente a un shell remoto para el reconocimiento de la red desde la posición de la red de la víctima, incluida cualquier red interna corporativa o doméstica a la que esté asociado actualmente el dispositivo», según ThreatFabric.

Otra característica importante es un proxy SOCKS5 que convierte el dispositivo comprometido en un nodo de salida de la red que enruta el tráfico malicioso, al tiempo que anula las firmas de detección de fraude basadas en IP en servicios bancarios, de comercio electrónico y de intercambio de criptomonedas.

Además, TrickMo incluye dos funciones inactivas que agrupan el marco de enlace Pine y declaran amplios permisos relacionados con NFC. Pero ninguno de ellos se implementa realmente. Esto probablemente indica que los desarrolladores principales están buscando ampliar las capacidades del troyano en el futuro.

«En lugar de depender del DNS convencional y de la infraestructura pública de Internet, el malware se comunica a través de puntos finales .adnl enrutados a través de un proxy TON local integrado, lo que reduce la eficacia de los esfuerzos tradicionales de desmontaje y bloqueo de red, al tiempo que hace que el tráfico se mezcle con la actividad TON legítima», dijo ThreatFabric.

«Esta última variante también amplía la función operativa de los dispositivos infectados a través de túneles SSH y proxy SOCKS5 autenticado, convirtiendo efectivamente los teléfonos comprometidos en pivotes de red programables y nodos de salida de tráfico cuyas conexiones se originan en el propio entorno de red de la víctima».

Investigadores de ciberseguridad han revelado detalles de una nueva puerta trasera de Linux llamada PamDOORa eso está siendo anunciado en el foro ruso sobre cibercrimen Rehub por 1.600 dólares por un actor de amenazas llamado «darkworm».

La puerta trasera está diseñada como un módulo de autenticación conectable (PAM) basado en un kit de herramientas post-explotación que permite el acceso SSH persistente mediante una contraseña mágica y una combinación de puerto TCP específico. También es capaz de recopilar credenciales de todos los usuarios legítimos que se autentican a través del sistema comprometido.

«La herramienta, llamada PamDOORa, es una nueva puerta trasera basada en PAM, diseñada para servir como puerta trasera post-explotación, permitiendo la autenticación en servidores a través de OpenSSH», dijo Assaf Morag, investigador de Flare.io. dicho en un informe técnico. «Supuestamente esto permanecería persistente en los sistemas Linux (x86_64)».

PamDOORa es la segunda puerta trasera de Linux dirigida a la pila PAM después de Plague. PAM es un marco de seguridad en los sistemas operativos Unix/Linux que otorga a los administradores de sistemas la capacidad de incorporar múltiples mecanismos de autenticación o actualizarlos (por ejemplo, cambiar de contraseñas a datos biométricos) en un sistema existente mediante el uso de módulos conectables sin la necesidad de reescribir las aplicaciones existentes.

Debido a que los módulos PAM normalmente se ejecutan con privilegios de rootun módulo comprometido, mal configurado o malicioso puede introducir importantes riesgos de seguridad y abrir la puerta a la recolección de credenciales y al acceso no autorizado.

«A pesar de sus puntos fuertes, la modularidad del módulo de autenticación conectable (PAM) introduce riesgos, ya que las modificaciones maliciosas en los módulos PAM pueden crear puertas traseras o robar credenciales de usuario, especialmente porque PAM no almacena contraseñas sino que transmite valores en texto plano», Group-IB anotado en septiembre de 2024.

«Los atacantes pueden explotar el módulo pam_exec, que permite la ejecución de comandos externos, para obtener acceso no autorizado o establecer un control persistente mediante la inyección de scripts maliciosos en los archivos de configuración de PAM».

El proveedor de seguridad de Singapur también detalló cómo es posible manipular la configuración PAM para la autenticación SSH para ejecutar un script a través de pam_exec, permitiendo efectivamente que un mal actor obtenga un shell privilegiado en un host y facilite la persistencia sigilosa.

Los últimos hallazgos de Flare.io muestran que PamDOORa, además de permitir el robo de credenciales, incorpora capacidades antiforenses para alterar metódicamente los registros de autenticación para borrar rastros de actividad maliciosa.

Aunque no hay evidencia de que el malware se haya utilizado en ataques del mundo real, es probable que las cadenas de infección que distribuyen el malware impliquen que el adversario primero obtenga acceso raíz al host a través de otros medios e implemente el módulo PamDOORa PAM para capturar credenciales y establecer acceso persistente a través de SSH.

Después de un precio de venta inicial de 1.600 dólares el 17 de marzo de 2026, el personaje del «gusano oscuro» lo ha reducido desde entonces en casi un 50 % a 900 dólares el 9 de abril, lo que indica una falta de interés del comprador o una intención de acelerar la venta.

«PamDOORa representa una evolución con respecto a las puertas traseras PAM de código abierto existentes», explicó Morag. «Si bien las técnicas individuales (enganches PAM, captura de credenciales, manipulación de registros) están bien documentadas, la integración en un implante modular cohesivo con antidepuración, activadores conscientes de la red y una canalización de construcción lo coloca más cerca de las herramientas de nivel de operador que los crudos scripts de prueba de concepto que se encuentran en la mayoría de los repositorios públicos».

Investigadores de ciberseguridad han revelado detalles de un marco de puerta trasera sigiloso basado en Python llamado PUERTA#PROFUNDA que viene con capacidades para establecer acceso persistente y recopilar una amplia gama de información confidencial de hosts comprometidos.

«La cadena de intrusión comienza con la ejecución de un script por lotes (‘install_obf.bat’) que desactiva los controles de seguridad de Windows, extrae dinámicamente una carga útil de Python integrada (‘svc.py’) y establece persistencia a través de múltiples mecanismos, incluidos scripts de carpetas de inicio, claves de ejecución del registro, tareas programadas y suscripciones WMI opcionales», afirman los investigadores de Securonix Akshay Gaikwad, Shikha Sangwan y Aaron Beardslee. dicho en un informe compartido con The Hacker News.

Se evalúa que el script por lotes se distribuye mediante enfoques tradicionales como el phishing. Actualmente no se sabe qué tan extendidos están los ataques que distribuyen el malware y si alguna de esas infecciones ha tenido éxito.

Lo que hace que la cadena de ataque sea notable es que el implante central de Python está incrustado directamente dentro del script dropper, desde donde se extrae, reconstruye y ejecuta. Esto reduce la necesidad de tener que recurrir repetidamente a infraestructura externa y minimiza la huella forense.

Una vez lanzado, el malware establece comunicación con «bore[.]pub», un restaurante basado en Rust servicio de tunelizaciónlo que permite al operador emitir comandos que facilitan la ejecución remota de comandos y una vigilancia exhaustiva. Esto incluye –

• cáscara inversa
• Reconocimiento del sistema
• Registro de teclas
• Monitoreo del portapapeles
• Captura de pantalla
• Acceso a la cámara web
• Grabación de audio ambiental
• Recolección de credenciales del navegador web
• Extracción de clave SSH
• Credenciales almacenadas en Google Chrome, Mozilla Firefox y Windows Credential Manager
• Robo de credenciales en la nube (Amazon Web Services, Google Cloud y Microsoft Azure)

El uso del servicio público de túnel TCP para comando y control (C2) ofrece varias ventajas, ya que elimina la necesidad de configurar una infraestructura dedicada, combina tráfico malicioso y evita incrustar detalles del servidor dentro de la carga útil.

Paralelamente, DEEP#DOOR incorpora un conjunto de mecanismos de evasión de defensa y antianálisis, como sandbox, depurador y detección de máquinas virtuales (VM), AMSI y Event Tracing para Windows (ETW) parches, desconexión de NTDLL, manipulación de Microsoft Defender, omisión de SmartScreen, supresión de registros de PowerShell, borrado de línea de comandos, marca de tiempo y borrado de registros, para pasar desapercibidos y complicar los esfuerzos de respuesta a incidentes.

También emplea múltiples mecanismos de persistencia que implican la creación de secuencias de comandos de la carpeta de inicio de Windows, claves de ejecución del registro y tareas programadas, al mismo tiempo que depende de un mecanismo de vigilancia para garantizar que los artefactos de persistencia no se hayan eliminado y, de ser así, recrearlos automáticamente, lo que dificulta la reparación.

«El implante resultante funciona como un troyano de acceso remoto (RAT) con todas las funciones, capaz de persistencia a largo plazo, espionaje, movimiento lateral y operaciones posteriores a la explotación dentro de entornos comprometidos», dijo Securonix. «El implante prioriza la evasión de la detección y la visibilidad forense alterando directamente los mecanismos de telemetría y seguridad de Windows».

«DEEP#DOOR destaca la evolución continua de los actores de amenazas hacia marcos de intrusión sin archivos y basados ​​en scripts que dependen en gran medida de componentes nativos del sistema y lenguajes interpretados como Python. Al incorporar la carga útil directamente dentro del cuentagotas y extraerla en tiempo de ejecución, el malware reduce significativamente las dependencias externas y limita las oportunidades de detección tradicionales».

Investigadores de ciberseguridad han revelado detalles de una falla de escalada de privilegios locales (LPE) de Linux que podría permitir que un usuario local sin privilegios obtenga root.

La vulnerabilidad de alta gravedad rastreada como CVE-2026-31431 (Puntuación CVSS: 7,8) ha recibido el nombre en código Copia fallida por Xint.io y Theori.

«Un usuario local sin privilegios puede escribir cuatro bytes controlados en la caché de páginas de cualquier archivo legible en un sistema Linux y usarlos para obtener acceso a la raíz», afirma el equipo de investigación de vulnerabilidades de Xint.io y Theori. dicho.

En esencia, la vulnerabilidad surge de una falla lógica en el subsistema criptográfico del kernel de Linux, específicamente dentro del módulo algif_aead. El tema fue presentado en un confirmación del código fuente realizado en agosto de 2017.

La explotación exitosa de la deficiencia podría permitir que un simple script Python de 732 bytes edite un binario setuid y obtenga root en prácticamente todas las distribuciones de Linux enviadas desde 2017, incluidas Amazon Linux, RHEL, SUSE y Ubuntu. El exploit de Python implica cuatro pasos:

• Abra un socket AF_ALG y vincúlelo a authencesn(hmac(sha256),cbc(aes))
• Construir la carga útil del shellcode
• Activar la operación de escritura en la copia almacenada en caché del kernel de «/usr/bin/su»
• Llame a execve(«/usr/bin/su») para cargar el código shell inyectado y ejecutarlo como root

Si bien la vulnerabilidad no se puede explotar de forma remota de forma aislada, un usuario local sin privilegios puede obtener acceso a la raíz simplemente corrompiendo el caché de la página de un binario setuid. La misma primitiva también tiene impactos entre contenedores, ya que la caché de la página se comparte entre todos los procesos de un sistema.

En respuesta a la divulgación, las distribuciones de Linux han publicado sus propios avisos:

Copy Fail tiene sus ecos en Dirty Pipe (CVE-2022-0847), otra vulnerabilidad LPE del kernel de Linux que podría permitir a usuarios sin privilegios unir datos en la caché de páginas de archivos de solo lectura y, en última instancia, sobrescribir archivos confidenciales en el sistema para lograr la ejecución del código.

«Copy Fail es la misma clase de primitivo, en un subsistema diferente», David Brumley de Bugcrowd dicho. «La optimización in situ de 2017 en algif_aead permite que una página de caché de página termine en la lista de dispersión de destino grabable del kernel para una operación AEAD enviada a través de un socket AF_ALG. Un proceso sin privilegios puede entonces conducir splice() a ese socket y completar una escritura pequeña y específica en el caché de página de un archivo que no es de su propiedad».

Lo que hace que esta vulnerabilidad sea peligrosa es que puede activarse de manera confiable y no requiere ninguna condición de carrera ni compensación del kernel. Además de eso, el mismo exploit funciona en todas las distribuciones.

«Esta vulnerabilidad es única porque tiene cuatro propiedades que casi nunca aparecen juntas: es portátil, pequeña, sigilosa y multicontenedor», dijo un portavoz de Xint.io a The Hacker News en un comunicado. «Permite que cualquier cuenta de usuario, sin importar el nivel bajo, aumente su privilegio a acceso completo de administrador. También les permite evitar el sandboxing y funciona en todas las versiones y distribuciones de Linux».

Los investigadores de ciberseguridad han descubierto código malicioso en un paquete npm después de un paquete malicioso como una dependencia del proyecto del modelo de lenguaje grande (LLM) Claude Opus de Anthropic.

El paquete en cuestión es «@validar-sdk/v2,», que figura en npm como un kit de desarrollo de software (SDK) de utilidad para hash, validación, codificación/decodificación y generación aleatoria segura. Sin embargo, su funcionalidad real es saquear secretos confidenciales del entorno comprometido. El paquete, que muestra signos de estar codificado por vibración utilizando inteligencia artificial (IA) generativa, se cargó por primera vez en el repositorio en octubre de 2025.

La campaña de malware ha recibido el nombre en clave rápidoVisón por ReversingLabs, que vinculó la actividad como parte de una campaña más amplia montada por el actor de amenazas norcoreano conocido como Chollima famosa (también conocido como Shifty Corsair), que está detrás de la campaña de entrevistas contagiosas de larga duración y la estafa fraudulenta de trabajadores de TI.

«La nueva campaña de malware […] involucra un paquete contaminado que se introdujo en un compromiso del 28 de febrero con un agente comercial autónomo», dijo el investigador de ReversingLabs Vladimir Pezo. dicho en un informe compartido con The Hacker News. «El el compromiso fue coautor por el modelo de lenguaje grande (LLM) Claude Opus de Anthropic. Permite a los atacantes acceder a las carteras y fondos criptográficos de los usuarios».

El paquete aparece como una dependencia de otro paquete npm llamado «@solana-launchpad/sdk«, que, a su vez, es utilizado por un tercer paquete llamado «cementerio-openpaw«, que se describe como un «agente de IA autónomo» que crea una identidad social en cadena en la cadena de bloques de Solana utilizando el Protocolo del tapizcomercializa criptomonedas a través de banqueroasí como interactúa con otros agentes en Moltbook.

ReversingLabs dijo que los paquetes generados por el agente de IA se agregaron como una dependencia en una confirmación realizada en febrero de 2026, lo que provocó que el paquete del agente ejecutara código malicioso y brindara a los atacantes acceso a través de credenciales filtradas a las billeteras y fondos de criptomonedas de la víctima.

El ataque adopta un enfoque por fases, donde los paquetes de la primera capa no contienen ningún código malicioso, sino que importan paquetes de la segunda capa que en realidad incorporan la funcionalidad nefasta. Si el segundo grupo se detecta o elimina de npm, se reemplaza rápidamente.

Algunos de los paquetes de primera capa identificados se enumeran a continuación:

• @solana-launchpad/sdk
• @meme-sdk/comercio
• @ validar-ethereum-address/core
• @solmasterv3/solana-metadatos-sdk
• @pumpfun-ipfs/sdk
• @solana-ipfs/sdk

«Implementan algunas funciones relacionadas con las criptomonedas», explicó ReversingLabs. «Y cada paquete enumera muchas dependencias, la mayoría de las cuales son paquetes npm populares con recuentos de descargas de millones y miles de millones, como axios, bn.js, etc. Sin embargo, una pequeña cantidad de dependencias son paquetes maliciosos de la segunda capa».

Los actores de amenazas emplean varias técnicas para ayudar a que los paquetes maliciosos escapen a la detección. Estas incluyen la creación de una versión maliciosa de las funciones ya presentes en los paquetes populares enumerados. Otra técnica utiliza typosquatting, donde los nombres y descripciones imitan bibliotecas legítimas.

La primera versión del paquete publicada en npm como parte de esta campaña se remonta a septiembre de 2025, cuando se cargó «@hash-validator/v2» en el registro. La decisión de dividir al ladrón de criptomonedas en dos partes (un cebo benigno que descarga el malware real) puede haberlo ayudado a evadir la detección y ayudar a ocultar la verdadera escala del ataque.

Vale la pena señalar que algunos aspectos de la actividad fueron documentado por JFrog dos meses después, destacando el uso de dependencias transitivas por parte del actor de amenazas para ejecutar código malicioso en sistemas de desarrolladores y desviar datos valiosos.

En los meses intermedios, la campaña ha experimentado varias transformaciones, incluso apuntando al índice de paquetes Python (PyPI) al impulsar un paquete malicioso («scraper-npm») con la misma funcionalidad en febrero de 2026. Tan recientemente como el mes pasado, se observó que los actores de amenazas establecían un acceso remoto persistente a través de SSH y utilizaban cargas útiles compiladas por Rust para exfiltrar proyectos completos que contienen código fuente y otra propiedad intelectual de los sistemas comprometidos.

Las primeras versiones del malware eran ladrones ofuscados basados ​​en JavaScript que escaneaban el directorio de trabajo actual de forma recursiva en busca de archivos .env o .json y los preparaban para su filtración a una URL de Vercel («ipfs-url-validator.vercel.app»), una plataforma de la que Famous Chollima abusaba repetidamente en sus campañas.

Si bien las iteraciones posteriores vinieron integradas con PromptMink en forma de una aplicación ejecutable única (SEA) de Node.js, también sufrió una desventaja notable, ya que provocó que el tamaño de la carga útil creciera de apenas 5,1 KB a alrededor de 85 MB. Se dice que esto provocó que los actores de amenazas pasaran a utilizar NAPI-RS para crear complementos de Node.js precompilados en Rust.

La evolución del malware desde un simple ladrón de información hasta un recolector multiplataforma especializado dirigido a Windows, Linux y macOS capaz de eliminar puertas traseras SSH y recopilar proyectos completos demuestra que los actores de amenazas norcoreanos siguen apuntando al ecosistema de código abierto para apuntar a los desarrolladores en el espacio Web3.

Famous Chollima está «aprovechando el código generado por IA y una estrategia de paquete en capas para evadir la detección y engañar de manera más efectiva a los asistentes de codificación automatizados que a los desarrolladores humanos», agregó ReversingLabs.

Surge un comerciante contagioso

Los hallazgos coinciden con el descubrimiento de un paquete npm malicioso llamado «express-session-js» que se cree que está vinculado a la campaña Contagious Interview, con la biblioteca actuando como un conducto para un gotero que recupera una carga útil ofuscada de segunda etapa de JSON Keeper, un servicio de pegado.

«La desofuscación estática de la carga útil de la etapa 2 revela un troyano de acceso remoto (RAT) completo y un ladrón de información que se conecta a 216[.]126[.]237[.]71 a través de Socket.IO, con capacidades que incluyen robo de credenciales del navegador, extracción de billetera criptográfica, captura de pantalla, monitoreo del portapapeles, registro de teclas y control remoto del mouse/teclado», SafeDep anotado este mes.

Curiosamente, el uso de paquetes legítimos como «socket.io-client» para comunicación de comando y control (C2), «screenshot-desktop» para captura de pantalla, «sharp» para compresión de imágenes y «clipboardy» para acceso al portapapeles se superpone con el de OtterCookie, un conocido malware ladrón atribuido a la campaña.

Lo novedoso esta vez es la adición del paquete «@nut-tree-fork/nut-js» para el control del mouse y el teclado, lo que sugiere intentos más amplios de actualizar las capacidades de RAT para facilitar el control interactivo de los hosts infectados.

Cadena de implementación de OtterCookie

OtterCookie, por su parte, ha sido testigo de su propia maduración, distribuyéndose a través de un proyecto de ajedrez 3D de código abierto troyanizado alojado en Bitbucket y paquetes npm maliciososcomo «gemini-ai-checker», «express-flowlimit» y «chai-extensions-extras».

Un tercer método ha empleado un enfoque de muñeca Matryoshka como parte de un campaña apodado Comerciante contagioso. El ataque comienza con el descargar de un paquete contenedor benigno (por ejemplo, «bjs-biginteger»), que luego procede a descargar una dependencia maliciosa (por ejemplo, «bjs-lint-builder») y finalmente instala el ladrón.

Superposiciones entre entrevista contagiosa, comerciante contagioso y graphalgo

«Las recientes campañas orquestadas por Shifty Corsair demuestran la creciente amenaza de las operaciones cibernéticas alineadas por el Estado de la RPDC», dijo el investigador de BlueVoyant, Curt Buchanan. dicho. «Su rápida evolución, desde la codificación estática Obfuscator.io hasta la ofuscación personalizada con rotación dinámica, y su abuso de la infraestructura C2 alojada en Vercel, demuestra una maduración en sus capacidades operativas».

Graphalgo utiliza empresas falsas para eliminar RAT

El avance es significativo ya que el actor de la amenaza ha sido vinculado simultáneamente a otra campaña en curso denominada grafico que atrae a los desarrolladores que utilizan empresas falsas y aprovecha entrevistas de trabajo y pruebas de codificación falsas para entregar paquetes npm maliciosos a sus sistemas.

La campaña se desarrolla así: los piratas informáticos emplean tácticas de ingeniería social en plataformas de búsqueda de empleo y redes sociales para engañar a posibles objetivos para que descarguen proyectos alojados en GitHub como parte de una evaluación. Estos proyectos, a su vez, contienen una dependencia de un paquete malicioso publicado en npm o PyPI, cuyo objetivo principal es implementar un troyano de acceso remoto (RAT) en la máquina.

Para llevar a cabo el ataque, los operadores crearon una red de empresas falsas, con perfiles convincentes en plataformas como GitHub, LinkedIn y X para darles una apariencia de legitimidad y hacer que el engaño sea más convincente. En el caso de Blocmerce, los atacantes incluso llegaron al extremo de registrándose una corporación de responsabilidad limitada (LLC) en el estado estadounidense de Florida con el mismo nombre en agosto de 2025. Los nombres de algunas de las empresas utilizadas para el phishing frontal son los siguientes:

• Capital Veltrix
• Blockmerce
• Finanzas Bridgers

«Estas organizaciones están vinculadas a varias organizaciones de GitHub relacionadas con empresas de blockchain que han estado activas en GitHub desde junio de 2025», dijo el investigador de seguridad de ReversingLabs, Karlo Zanki. dicho. «Su propósito es brindar confiabilidad a ofertas de trabajo falsas y albergar tareas de entrevistas de trabajo falsas».

También se han detectado versiones recientes de la campaña que utilizan una técnica diferente para alojar dependencias maliciosas. En lugar de publicarlos en npm o PyPI, se alojan como un artefacto de lanzamiento en repositorios de GitHub, probablemente en un esfuerzo por minimizar el riesgo de detección.

«La referencia a la dependencia maliciosa está enterrada en lo más profundo de la lista de dependencias transitivas. El campo resuelto en el archivo package-lock.json indica al administrador de paquetes dónde obtener dependencias de paquetes específicas», señaló ReversingLabs. «Mientras que todas las demás dependencias se obtienen del registro oficial de npm, la maliciosa se obtiene directamente de un artefacto de lanzamiento ubicado en un repositorio GitHub diseñado».

La lista de paquetes npm se encuentra a continuación:

• gráfico dinámico
• Graphbase-js
• Graphlib-js

El ataque culmina con la implementación de una RAT que puede recopilar información del sistema, enumerar archivos y directorios, enumerar procesos en ejecución, crear carpetas, cambiar el nombre de archivos, eliminar archivos y cargar/descargar archivos.

En las últimas semanas, un grupo de amenazas patrocinado por el Estado norcoreano rastreado como UNC1069 también ha sido vinculado con el compromiso de «axios», uno de los paquetes npm más populares, destacando la continua amenaza que enfrentan los repositorios de código abierto de Pyongyang.

Desde entonces, los atacantes detrás de la brecha han publicado un nuevo paquete npm llamado «csec-crypto-utils» que contiene una «carga útil actualizada» que sustituye el cuentagotas RAT por un ladrón de datos que exfolia las claves de AWS, los tokens de GitHub y los archivos de configuración .npmrc a un servidor externo («csec-c2-server.onrender[.]com»).

En su informe que detalla el compromiso de la cadena de suministro, Hunt.io empató el ataque a un subgrupo del Grupo Lazarus conocido como BlueNoroff, citando superposiciones de infraestructura y las similitudes de RAT con NukeSped.

«El uso de técnicas y tácticas avanzadas por parte de los actores de amenazas, así como un nivel sorprendente de preparación de campaña (creación de una LLC en Florida) y su capacidad de adaptación, hace que los actores de amenazas norcoreanos sean una amenaza importante para las organizaciones o desarrolladores individuales centrados en las criptomonedas», dijo ReversingLabs.