{"id":1103,"date":"2026-06-05T20:36:56","date_gmt":"2026-06-05T20:36:56","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/05\/ironworm-y-la-nueva-variante-de-miasma-worm-atacan-a-npm-en-ataques-a-la-cadena-de-suministro-cyberdefensa-mx\/"},"modified":"2026-06-05T20:36:56","modified_gmt":"2026-06-05T20:36:56","slug":"ironworm-y-la-nueva-variante-de-miasma-worm-atacan-a-npm-en-ataques-a-la-cadena-de-suministro-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/05\/ironworm-y-la-nueva-variante-de-miasma-worm-atacan-a-npm-en-ataques-a-la-cadena-de-suministro-cyberdefensa-mx\/","title":{"rendered":"IronWorm y la nueva variante de Miasma Worm atacan a npm en ataques a la cadena de suministro \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

M\u00faltiples ataques a la cadena de suministro de software han afectado al ecosistema npm, y los actores de amenazas utilizan versiones maliciosas y envenenadas de m\u00e1s de 50 paquetes leg\u00edtimos para distribuir un ladr\u00f3n de informaci\u00f3n basado en Rust y un gusano que se propaga autom\u00e1ticamente, respectivamente.<\/p>\n

De acuerdo a JFrog<\/a>el ladr\u00f3n de informaci\u00f3n \u00abelimina todos los secretos que puede encontrar en la m\u00e1quina de un desarrollador, se esconde detr\u00e1s de un rootkit del n\u00facleo eBPF y responde a su operador a trav\u00e9s de Tor\u00bb.<\/p>\n

El ladr\u00f3n tambi\u00e9n utiliza las credenciales robadas como mecanismo de propagaci\u00f3n, generando similitudes con el infame gusano Shai-Hulud. El nuevo malware tiene un nombre en clave gusano de hierro<\/b> por la empresa de seguridad de la cadena de suministro de software. Al publicarse en el registro npm en forma de paquetes troyanizados, este enfoque resulta en un ataque autorreplicante.<\/p>\n

La actividad maliciosa se remonta a una cuenta npm comprometida llamada \u00abasteroide<\/a>\u00ab, que se ha descubierto que publica versiones de paquetes que contienen el binario Rust ELF que se ejecuta a trav\u00e9s de un gancho de preinstalaci\u00f3n.<\/p>\n

El malware se dirige a 86 variables de entorno, varios archivos que pueden contener credenciales asociadas con OpenAI Codex, Anthropic, Claude, Google Gemini, Cursor, Amazon Web Services (AWS), Docker, Kubernetes y npm, configuraciones de b\u00f3veda y archivos de billetera de criptomonedas Exodus.<\/p>\n

Una peculiaridad inusual que vale la pena mencionar aqu\u00ed es que el ladr\u00f3n incluye una l\u00f3gica para que el componente de robo de datos de la billetera omita la billetera del propio actor de la amenaza. Al momento de escribir, el billetera de criptomonedas<\/a> est\u00e1 vac\u00edo y no se han registrado transacciones.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

JFrog describi\u00f3 a IronWorm como \u00abun arma de cadena de suministro creada para encontrar secretos, modificar proyectos e inyectar c\u00f3digo malicioso para autopropagarse en GitHub\u00bb. Las confirmaciones maliciosas, que abarcan nueve organizaciones de GitHub, se introdujeron bajo el nombre del autor \u00abclaude\u00bb (\u00abclaude@users.noreply.github.com\u00bb) en un intento de imitar el chatbot de inteligencia artificial (IA) de Anthropic.<\/p>\n

\u00abEl paquete malicioso npm fue publicado por asteroiddao; asteroiddao corresponde a la organizaci\u00f3n asteroid-dao GitHub; y ocrybit es miembro de esa organizaci\u00f3n, as\u00ed como de organizaciones Arweave relacionadas\u00bb, explic\u00f3 la compa\u00f1\u00eda.<\/p>\n

\u00abEl malware rob\u00f3 las credenciales de ocrybit y las us\u00f3 para enviar confirmaciones a trav\u00e9s de repositorios a los que pod\u00eda acceder. Esas confirmaciones colocaron malware en otros paquetes, que luego podr\u00edan publicarse e infectar al siguiente desarrollador. Y luego desapareci\u00f3\u00bb.<\/p>\n

Es m\u00e1s, la carga \u00fatil maliciosa est\u00e1 equipada para intercambiar los flujos de trabajo de GitHub Actions existentes por uno que sea capaz de recolectar los secretos, escribirlos en un archivo de apariencia inofensiva y cargarlo como un artefacto de compilaci\u00f3n, eliminando as\u00ed la necesidad de un servidor externo de comando y control (C2).<\/p>\n

Las capacidades del malware no terminan ah\u00ed. En entornos de CI, abusa del flujo de publicaci\u00f3n confiable de npm para obtener tokens de corta duraci\u00f3n para enviar versiones envenenadas que contienen el malware al registro.<\/p>\n

Tambi\u00e9n incorpora una carga \u00fatil eBPF que funciona como un rootkit a nivel de kernel para ocultar procesos y frustrar an\u00e1lisis. Sin embargo, en los sistemas donde el bloqueo del kernel est\u00e1 habilitado, los trucos para ocultar procesos fallan y los supuestos procesos y sockets vuelven a ser visibles.<\/p>\n

El gusano miasma emerge nuevamente<\/h3>\n

La revelaci\u00f3n surge como Laboratorios Endor<\/a> y PasoSeguridad<\/a> arrojar luz sobre una distinta campa\u00f1a de ataque a la cadena de suministro que ha comprometido 57 paquetes npm en m\u00e1s de 286 versiones maliciosas para servir una nueva variante del gusano Miasma, que previamente infect\u00f3 32 paquetes en m\u00e1s de 90 versiones bajo el espacio de nombres npm @redhat-cloud-services en 72 segundos a principios de esta semana.<\/p>\n

Algunos de los paquetes afectados se enumeran a continuaci\u00f3n:<\/p>\n