OpenAI reveló un flujo de trabajo de GitHub Actions utilizado para firmar sus aplicaciones macOS, que descargó la biblioteca maliciosa Axios el 31 de marzo, pero señaló que ningún dato del usuario ni sistema interno se vio comprometido.
«Por precaución, estamos tomando medidas para proteger el proceso que certifica que nuestras aplicaciones macOS son aplicaciones OpenAI legítimas», OpenAI dicho en una publicación la semana pasada. «No encontramos evidencia de que se haya accedido a los datos de los usuarios de OpenAI, de que nuestros sistemas o propiedad intelectual se hayan visto comprometidos, o de que nuestro software haya sido alterado».
La divulgación se produce poco más de una semana después de que Google Threat Intelligence Group (GTIG) atribuyera el compromiso de la cadena de suministro del popular paquete npm a un grupo de hackers norcoreano al que rastrea como UNC1069.
El ataque permitió a los actores de amenazas secuestrar la cuenta npm del mantenedor del paquete para impulsar dos versiones envenenadas, 1.14.1 y 0.30.4, que venían integradas con una dependencia maliciosa llamada «plain-crypto-js», que implementaba una puerta trasera multiplataforma llamada WAVESHAPER.V2 para infectar sistemas Windows, macOS y Linux.
La compañía de inteligencia artificial (IA) dijo que un flujo de trabajo de GitHub Actions que utiliza como parte de su proceso de firma de aplicaciones macOS descargó y ejecutó la versión 1.14.1 de Axios. Añadió que el flujo de trabajo tenía acceso a un certificado y material de certificación notarial utilizado para firmar ChatGPT Desktop, Codex, Codex CLI y Atlas.
«Nuestro análisis del incidente concluyó que el certificado de firma presente en este flujo de trabajo probablemente no fue filtrado con éxito por la carga útil maliciosa debido al momento de ejecución de la carga útil, la inyección del certificado en el trabajo, la secuenciación del trabajo en sí y otros factores mitigantes», dijo la compañía.
A pesar de no encontrar evidencia de filtración de datos, OpenAI dijo que está tratando el certificado como comprometido y que lo está revocando y rotando. Como resultado, las versiones anteriores de todas sus aplicaciones de escritorio macOS ya no recibirán actualizaciones ni soporte a partir del 8 de mayo de 2026.
Esto también significa que las aplicaciones firmadas con el certificado anterior serán bloqueadas por las protecciones de seguridad de macOS de forma predeterminada, impidiendo que se descarguen o inicien. Las primeras versiones firmadas con su certificado actualizado se enumeran a continuación:
- Escritorio ChatGPT – 1.2026.071
- Aplicación del Códice: 26.406.40811
- CLI del Códice – 0.119.0
- Atlas – 1.2026.84.2
Como parte de sus esfuerzos de remediación, OpenAI también está trabajando con Apple para garantizar que el software firmado con el certificado anterior no pueda volver a certificarse ante notario. La ventana de 30 días hasta el 8 de mayo de 2026 es una forma de minimizar las interrupciones para los usuarios y darles tiempo suficiente para asegurarse de que estén actualizados a la última versión, señaló.
«En el caso de que un actor malintencionado comprometiera con éxito el certificado, podría usarlo para firmar su propio código, haciéndolo aparecer como software OpenAI legítimo», dijo OpenAI. «Hemos detenido las certificaciones notariales de software nuevo utilizando el certificado antiguo, por lo que el software nuevo firmado con el certificado antiguo por un tercero no autorizado sería bloqueado de forma predeterminada por las protecciones de seguridad de macOS a menos que un usuario las omita explícitamente».
Dos ataques a la cadena de suministro sacuden la marcha
La violación de Axios, una de las bibliotecas cliente HTTP más utilizadas, fue uno de los dos principales ataques a la cadena de suministro que tuvieron lugar en marzo y dirigidos al ecosistema de código abierto. El otro incidente dirigido triviaun escáner de vulnerabilidades mantenido por Aqua Security, lo que resultó en impactos en cascada en cinco ecosistemas, lo que afecta a otras bibliotecas populares que dependen de él.
El ataque, obra de un grupo cibercriminal llamado TeamPCP (también conocido como UNC6780), implementó un ladrón de credenciales denominado SANDCLOCK que facilitó la extracción de datos confidenciales de entornos de desarrolladores. Posteriormente, los actores de amenazas utilizaron las credenciales robadas como arma para comprometer los paquetes npm e impulsar un gusano autopropagante llamado gusano de bote.
Días después, el equipo utilizó secretos robados de la intrusión Trivy para inyectar el mismo malware en dos flujos de trabajo de GitHub Actions mantenidos por Checkmarx. Luego, los actores de amenazas continuaron publicando versiones maliciosas de LiteLLM y Telnyx al índice de paquetes de Python (PyPI), los cuales utilizan Trivy en su canal de CI/CD.
«El compromiso de Telnyx indica un cambio continuo en las técnicas utilizadas en la actividad de la cadena de suministro de TeamPCP, con ajustes en las herramientas, los métodos de entrega y la cobertura de la plataforma», Trend Micro dicho en un análisis del ataque.
«En solo ocho días, el actor ha pasado por escáneres de seguridad, infraestructura de inteligencia artificial y ahora herramientas de telecomunicaciones, evolucionando su entrega desde Base64 en línea a la ejecución automática de .pth y, en última instancia, a la esteganografía WAV de archivos divididos, al tiempo que se expande desde solo Linux a la orientación de plataforma dual con persistencia de Windows».
En sistemas windowsel truco del SDK de Python de Telnyx dio como resultado la implementación de un ejecutable llamado «msbuild.exe» que emplea varias técnicas de ofuscación para evadir la detección y extrae DonutLoader, un cargador de código shell, de una imagen PNG presente dentro del binario para cargar un troyano con todas las funciones y un faro asociado con AdaptixC2, un marco de comando y control (C2) de código abierto.
Varios proveedores de ciberseguridad han publicado análisis adicionales de la campaña, ahora identificada como CVE-2026-33634:
Es posible que el compromiso de la cadena de suministro de TeamPCP haya llegado a su fin, pero desde entonces el grupo ha cambiado su enfoque hacia la monetización de las cosechas de credenciales existentes al asociarse con otros grupos con motivación financiera como Vect, LAPSUS$ y ShinyHunters. La evidencia indica que el actor de amenazas también lanzó una operación de ransomware patentada bajo el nombre de CipherForce.
Estos esfuerzos se han complementado con el uso de los datos robados por parte de TeamPCP para acceder a entornos de nube y de software como servicio (SaaS), lo que marca una nueva escalada de la campaña. Con ese fin, se ha descubierto que la banda de ciberdelincuentes verifica las credenciales robadas utilizando TruffleHog, lanza operaciones de descubrimiento dentro de las 24 horas posteriores a la validación, extrae más datos e intenta realizar movimientos laterales para obtener acceso a la red más amplia.
«Las credenciales y los secretos robados en los compromisos de la cadena de suministro se validaron rápidamente y se utilizaron para explorar los entornos de las víctimas y extraer datos adicionales», investigadores de Wiz. dicho. «Si bien la velocidad a la que se utilizaron sugiere que fue obra de los mismos actores de amenazas responsables de las operaciones de la cadena de suministro, no podemos descartar que los secretos se compartan con otros grupos y sean utilizados por ellos».
Los ataques se propagan a través de las dependencias
Google tiene prevenido que «cientos de miles de secretos robados» podrían estar circulando como resultado de los ataques de Axios y Trivy, alimentando más ataques a la cadena de suministro de software, compromisos del entorno SaaS, eventos de ransomware y extorsión, y robo de criptomonedas en el corto plazo.
Dos organizaciones que han confirmado un compromiso a través del ataque a la cadena de suministro de Trivy son una startup de capacitación en datos de inteligencia artificial (IA). Mercor y el Comisión Europea. Si bien la compañía no ha compartido detalles sobre el impacto, el grupo de extorsión LAPSUS$ incluyó a Mercor en su sitio de filtración, afirmando haber extraído alrededor de 4 TB de datos. La violación de Mercor ha llevado a Meta a pausar su trabajo con la empresa, según un informe de CABLEADO.
A principios de este mes, CERT-EU reveló que los actores de amenazas utilizaron el secreto robado de AWS para extraer datos del entorno de nube de la Comisión. Esto incluía datos relacionados con sitios web alojados para hasta 71 clientes del servicio de alojamiento web Europa y comunicaciones salientes por correo electrónico. Desde entonces, el grupo ShinyHunters ha publicado públicamente el conjunto de datos exfiltrado en su sitio de filtración en la web oscura.
GitGuardian análisis Una investigación de los ataques a la cadena de suministro de Trivy y LiteLLM y su propagación a través de dependencias y canales de automatización ha descubierto que 474 repositorios públicos ejecutaron código malicioso del flujo de trabajo «trivy-action» comprometido y 1.750 paquetes de Python se configuraron de una manera que extraería automáticamente las versiones envenenadas.
«TeamPCP está apuntando deliberadamente a herramientas de seguridad que se ejecutan con privilegios elevados por diseño. Comprometerlas le da al atacante acceso a algunos de los entornos más sensibles de la organización, porque las herramientas de seguridad generalmente tienen un amplio acceso por diseño», Brett Leatherman, subdirector de la División Cibernética de la Oficina Federal de Investigaciones (FBI) de EE. UU., escribió en LinkedIn.
Los incidentes en la cadena de suministro son peligrosos porque apuntan a la confianza inherente que asumen los desarrolladores al descargar paquetes y dependencias de repositorios de código abierto. «La confianza se asumió donde debería haberse verificado», dijo Mark Lechner, director de seguridad de la información de Docker. dicho.
«Las organizaciones que superaron estos incidentes con daños mínimos ya habían comenzado a reemplazar la confianza implícita con verificación explícita en cada capa de su pila: imágenes base verificadas en lugar de extracciones de la comunidad, referencias fijadas en lugar de etiquetas mutables, credenciales de alcance y de corta duración en lugar de tokens de larga duración, y entornos de ejecución de espacio aislado en lugar de corredores de CI abiertos».
Tanto los mantenedores de Docker como los de Python Package Index (PyPI) tienen delineado una larga lista de recomendaciones que los desarrolladores pueden implementar para contrarrestar este tipo de ataques:
- Fije paquetes mediante resumen o confirme SHA en lugar de etiquetas mutables.
- Utilice imágenes reforzadas de Docker (DHI).
- Aplique la configuración de edad mínima de lanzamiento para retrasar la adopción de nuevas versiones para actualizaciones de dependencia.
- Trate a cada corredor de CI como un posible punto de infracción y evite los activadores pull_request_targe en GitHub Actions a menos que sea absolutamente necesario.
- Utilice credenciales de corta duración y de alcance limitado.
- Utilice un espejo interno o un proxy de artefacto.
- Implemente tokens canary para recibir alertas sobre posibles intentos de exfiltración.
- Entorno de auditoría para secretos codificados.
- Ejecute agentes de codificación de IA en entornos aislados.
- Utilice publicaciones confiables para enviar paquetes a npm y PyPI.
- Asegure el proceso de desarrollo de código abierto con autenticación de dos factores (2FA).
La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) también ha agregado CVE-2026-33634 a sus vulnerabilidades explotadas conocidas (KEV), que exige que las agencias del Poder Ejecutivo Civil Federal (FCEB) apliquen las mitigaciones necesarias antes del 9 de abril de 2026.
«El número de ataques recientes a la cadena de suministro de software es abrumador», dijo Charles Carmakal, director de tecnología de Mandiant Consulting en Google. dicho. «Los defensores deben prestar mucha atención a estas campañas. Las empresas deberían poner en marcha proyectos específicos para evaluar el impacto existente, remediarlo y protegerlo contra futuros ataques».
