{"id":1312,"date":"2026-06-26T11:40:01","date_gmt":"2026-06-26T11:40:01","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/26\/miasma-malware-apunta-a-paquetes-npm-y-acciones-de-github-en-un-ataque-a-la-cadena-de-suministro-cyberdefensa-mx\/"},"modified":"2026-06-26T11:40:01","modified_gmt":"2026-06-26T11:40:01","slug":"miasma-malware-apunta-a-paquetes-npm-y-acciones-de-github-en-un-ataque-a-la-cadena-de-suministro-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/26\/miasma-malware-apunta-a-paquetes-npm-y-acciones-de-github-en-un-ataque-a-la-cadena-de-suministro-cyberdefensa-mx\/","title":{"rendered":"Miasma Malware apunta a paquetes npm y acciones de GitHub en un ataque a la cadena de suministro \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Los investigadores de ciberseguridad han se\u00f1alado otra evoluci\u00f3n del ataque a la cadena de suministro vinculado a la familia de malware Mini Shai-Hulud, Miasma y Hades que ha comprometido un nuevo conjunto de paquetes npm, incluso cuando se ha propagado al ecosistema Go.<\/p>\n<p>\u00abLa \u00faltima actividad incluye lanzamientos maliciosos de npm que afectan a los paquetes LeoPlatform y RStreams, abuso del flujo de trabajo de GitHub Actions y un compromiso del m\u00f3dulo Go relacionado que involucra el proyecto Verana Blockchain\u00bb, Socket <a href=\"https:\/\/socket.dev\/blog\/miasma-mini-shai-hulud-hits-leoplatform-npm-packages-go-ecosystem\">dicho<\/a>.<\/p>\n<p>El objetivo final de la campa\u00f1a, como antes, es recopilar credenciales de desarrollador o mantenedor y convertir los datos robados en armas para distribuirlos entre registros de paquetes, repositorios y flujos de trabajo de desarrolladores confiables.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-cant-stop-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjPEV6-530TOlxG6PjrmdlY623wpBwduZ7t1HV6flcmO5R4q4AmfixDUzW0CrhlvMVNWbhvOIso-UDNTka4W_W9Chrdj_dglwBZwi7DuePM2IMIl-hfUYVIqBXgfpr_2619K8Gptb4LzwJ6gUbi7lWl2M8AFQJsHEaw63Q7tZ6708YGruiHrr0Y2W9YYxLQ\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>La lista de paquetes afectados se encuentra a continuaci\u00f3n:<\/p>\n<ul>\n<li>hexo-deployer-wrangler@1.0.4<\/li>\n<li>hexo-shoka-swiper@0.1.10<\/li>\n<li>leo-auth@4.0.6<\/li>\n<li>leo-aws@2.0.4<\/li>\n<li>leo-cache@1.0.2<\/li>\n<li>leo-cdk-lib@0.0.2<\/li>\n<li>leo-cli@3.0.3<\/li>\n<li>leo-config@1.1.1<\/li>\n<li>leo-conector-elasticsearch@2.0.6<\/li>\n<li>leo-conector-mongo@3.0.8<\/li>\n<li>leo-conector-mysql@3.0.3<\/li>\n<li>conector-leo-oracle@2.0.1<\/li>\n<li>conector-leo-corrimiento-rojo@3.0.6<\/li>\n<li>leo-cron@2.0.2<\/li>\n<li>leo-logger@1.0.8<\/li>\n<li>leo-sdk@6.0.19<\/li>\n<li>leo-streams@2.0.1<\/li>\n<li>prisma-silq@1.0.1<\/li>\n<li>rstreams-m\u00e9tricas@2.0.2<\/li>\n<li>rstreams-fragmento-util@1.0.1<\/li>\n<li>convenci\u00f3n sin servidor@2.0.4<\/li>\n<li>sin servidor-leo@3.0.14<\/li>\n<li>solo-nav@1.0.1<\/li>\n<li>github.com\/verana-labs\/verana-blockchain@v0.10.1-dev.20 (Ir)<\/li>\n<\/ul>\n<p>Se sospecha que una cuenta de desarrollador npm asociada con LeoPlatform (\u00ab<a href=\"https:\/\/www.npmjs.com\/~czirker\">czirker<\/a>\u00ab) fue violado, probablemente a trav\u00e9s de credenciales filtradas, para permitir el ataque, permitiendo a los actores de la amenaza <a href=\"https:\/\/www.stepsecurity.io\/blog\/mass-npm-supply-chain-attack-20-leo-platform-packages-compromised\">aprovechar<\/a> un <a href=\"https:\/\/safedep.io\/miasma-worm-hits-leoplatform-20-npm-packages\/\">token npm<\/a> perteneciente al mantenedor para impulsar versiones troyanizadas dentro de una ventana de seis segundos.<\/p>\n<p>La nueva ola aprovecha muchas de las t\u00e1cticas observadas en campa\u00f1as anteriores, incluido el envenenamiento del registro npm, la ejecuci\u00f3n en el momento de la instalaci\u00f3n de vinculante.gyp, el malware JavaScript Bun-staged, la infraestructura de GitHub dead-drop, el robo de secretos de GitHub Actions, la persistencia del asistente de codificaci\u00f3n IDE e IA y la exfiltraci\u00f3n de credenciales cifradas.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEiNRDAAjjSxDlvfsoFDhsD1KWp8OjZNAzHwPhuQEp0ns-_YWkv60lhlUq9Sc4qc7tzkO05ZCjem9J9PPo5rCvpdv-L8tmkJjOKzk1Zo8n4hhHaZO8ntOHwqG2euKrZiLmMlE9hsylXm3V_eWvYubBXOXsgnJTMmObJ39xzVJGdgfOn-PMFccDDdcir7u48r\/s1700-e365\/flow.png\" style=\"clear: left; display: block; float: left;  text-align: center;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEiNRDAAjjSxDlvfsoFDhsD1KWp8OjZNAzHwPhuQEp0ns-_YWkv60lhlUq9Sc4qc7tzkO05ZCjem9J9PPo5rCvpdv-L8tmkJjOKzk1Zo8n4hhHaZO8ntOHwqG2euKrZiLmMlE9hsylXm3V_eWvYubBXOXsgnJTMmObJ39xzVJGdgfOn-PMFccDDdcir7u48r\/s1700-e365\/flow.png\" alt=\"\" border=\"0\" data-original-height=\"602\" data-original-width=\"1462\"\/><\/a><\/div>\n<p>Los paquetes npm maliciosos, si bien carecen de un gancho de ciclo de vida que normalmente se agrega al archivo package.json, incorporan un archivo vinculante.gyp para ejecutar c\u00f3digo arbitrario durante la instalaci\u00f3n, lo que resulta en el lanzamiento de un cargador de JavaScript que descarga e instala el tiempo de ejecuci\u00f3n de Bun si no est\u00e1 presente, y luego inicia la carga \u00fatil del ladr\u00f3n responsable de recolectar secretos, credenciales y tokens.<\/p>\n<p>El malware, adem\u00e1s de presentar un interruptor de seguridad local ruso y verificar la presencia de software de seguridad de punto final, lanza un flujo de trabajo llamado \u00abRun Copilot\u00bb para capturar secretos del entorno CI\/CD de la memoria del ejecutor. Luego, la informaci\u00f3n se carga en un repositorio p\u00fablico de GitHub con la descripci\u00f3n \u00abMuy bien, veamos si esto funciona\u00bb. Al momento de escribir, hay <a href=\"https:\/\/github.com\/search?q=%22Alright+Lets+See+If+This+Works%22&amp;type=repositories&amp;s=updated&amp;o=desc\">559 repositorios<\/a> Coincide con la descripci\u00f3n.<\/p>\n<p>El marcador de retransmisi\u00f3n de fichas tambi\u00e9n tiene <a href=\"https:\/\/research.jfrog.com\/post\/shai-hulud-miasma-alright-lets-see-if-this-works\/\">presenciado<\/a> un cambio en la \u00faltima iteraci\u00f3n. Mientras que las oleadas anteriores usaban cadenas como \u00abIfYouInvalidateThisTokenItWillNukeTheComputerOfTheOwner\u00bb, el artefacto actual usa \u00abRevokeAndItGoesKaboom\u00bb, una cadena que se ha utilizado como resoluci\u00f3n de ca\u00edda muerta de GitHub en relaci\u00f3n con el reciente compromiso de la acci\u00f3n de GitHub \u00abcodfish\/semantic-release-action\u00bb.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEj6cxKv_kWyF4xPaaMnRuhHsb4PO9JlojZYTsh0YbK29gcqORc5VjQSQVJk2U4iiY28HlWfcnOnP0RTzalRODMpgT2vtGzHBezJRmnuULGL7yf-cSkX_-6Bl2vBoq7oOTnrvSVIm_3cHHhqYMs221IiHPe2f-gqQu21yotecBIbaaQEJjCkPULE9cIVrB9u\/s1700-e365\/leo.jpg\" style=\"clear: left; display: block; float: left;  text-align: center;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEj6cxKv_kWyF4xPaaMnRuhHsb4PO9JlojZYTsh0YbK29gcqORc5VjQSQVJk2U4iiY28HlWfcnOnP0RTzalRODMpgT2vtGzHBezJRmnuULGL7yf-cSkX_-6Bl2vBoq7oOTnrvSVIm_3cHHhqYMs221IiHPe2f-gqQu21yotecBIbaaQEJjCkPULE9cIVrB9u\/s1700-e365\/leo.jpg\" alt=\"\" border=\"0\" data-original-height=\"854\" data-original-width=\"1484\"\/><\/a><\/div>\n<p>\u00abEl 24 de junio de 2026 a las 15:39:06 UTC, un atacante impuls\u00f3 una confirmaci\u00f3n maliciosa a codfish\/semantic-release-action y redirigi\u00f3 varias etiquetas de versi\u00f3n para apuntar a la confirmaci\u00f3n maliciosa\u00bb, StepSecurity <a href=\"https:\/\/www.stepsecurity.io\/blog\/supply-chain-compromise-codfish-semantic-release-action\">dicho<\/a>.<\/p>\n<p>\u00abCualquier flujo de trabajo que se ejecutara contra una de estas etiquetas despu\u00e9s de esa marca de tiempo ejecut\u00f3 la carga \u00fatil del atacante directamente dentro del ejecutor de GitHub Actions. La carga \u00fatil roba tokens OIDC de GitHub, recolecta tokens de acceso personal que coinciden con patrones de tokens de GitHub conocidos, cifra el material recopilado con AES-128-GCM e intenta propagar una puerta trasera a otros repositorios accesibles con las credenciales robadas\u00bb.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/vpn-threat-report-m\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhFlTC7RrRZGiFAgASS0noWSL0qsQGFVp8-Hvuw9yp3X3VKRuTcb5SsPX09wJzrdIM6pu1_5lS4EeZp7Sx4iYBpNJkrGnpr08yyaS1HQ5_5TxaCsP6O0OtHNuOkesn6CbNjao1GPulCJk-uljYMSfMZfBYNrngpe669t7jlRn1FqiEnXhsFD1WVkpaYIVgh\/s728-e100\/ai-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Esto indica que todos estos eventos est\u00e1n vinculados al mismo grupo operativo o linaje de herramientas. De acuerdo a <a href=\"https:\/\/www.endorlabs.com\/learn\/shai-hulud-strikes-leo-platform-npm\">Laboratorios Endor<\/a> y <a href=\"https:\/\/www.ox.security\/blog\/alright-lets-see-if-this-works-shai-hulud-miasma-hades-variant-spreads-on-npm\/\">Seguridad buey<\/a>el malware tambi\u00e9n sondea GitHub cada hora en busca de confirmaciones que coincidan con la cadena \u00abfiredalazer\u00bb para recuperar y ejecutar la variante Hades del malware.<\/p>\n<p>\u00abEl conjunto de paquetes Leo\/RStreams est\u00e1 vinculado a cargas de trabajo nativas de la nube y sin servidor\u00bb, afirm\u00f3 JFrog. \u00abUn compromiso aqu\u00ed puede exponer las estaciones de trabajo de los desarrolladores, los sistemas CI\/CD, las aplicaciones respaldadas por AWS, los repositorios de GitHub, las credenciales de publicaci\u00f3n de paquetes y los consumidores de paquetes posteriores\u00bb.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEh7tlOG3GqhR-bw1ybjzgmWKFpwMoaJ1rxrPamF2WYhKP3rAAU_pjieXbCkwAi5iizof7vsk6tnvnvo4B-sJBcsQJwoNO4d53oejY4i_4mt9vlwyVh8W-cUr-8oKyzeX3zxfGnEgrIL45AVbcaaDgKCSsZpftynDuMMNei1YEvlAQsq0CiUWZIaT1D924Ci\/s1700-e365\/ox.jpg\" style=\"display: block;  text-align: center; clear: left; float: left;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEh7tlOG3GqhR-bw1ybjzgmWKFpwMoaJ1rxrPamF2WYhKP3rAAU_pjieXbCkwAi5iizof7vsk6tnvnvo4B-sJBcsQJwoNO4d53oejY4i_4mt9vlwyVh8W-cUr-8oKyzeX3zxfGnEgrIL45AVbcaaDgKCSsZpftynDuMMNei1YEvlAQsq0CiUWZIaT1D924Ci\/s1700-e365\/ox.jpg\" alt=\"\" border=\"0\" data-original-height=\"2044\" data-original-width=\"2048\"\/><\/a><\/div>\n<p>\u00abLo notable no es que la carga \u00fatil sea radicalmente nueva. Es que Shai-Hulud contin\u00faa movi\u00e9ndose a trav\u00e9s de ecosistemas de paquetes leg\u00edtimos mientras cambia los indicadores suficientes para hacer que las detecciones obsoletas sean menos efectivas\u00bb.<\/p>\n<p>Es m\u00e1s, el envenenamiento de Verana GitHub ampl\u00eda el alcance de la campa\u00f1a m\u00e1s all\u00e1 de npm. Dicho esto, el ataque emplea el mismo patr\u00f3n de ejecuci\u00f3n de Miasma observado en paquetes npm maliciosos sin depender de la resoluci\u00f3n nativa del m\u00f3dulo Go ni de la l\u00f3gica de compilaci\u00f3n.<\/p>\n<p>\u00abA diferencia de los paquetes npm, esta muestra no depende de vinculante.gyp\u00bb, explic\u00f3 Socket. \u00abEl riesgo es la ejecuci\u00f3n del repositorio de origen: un desarrollador que clona o abre el repositorio en un entorno de asistente de codificaci\u00f3n de IA o IDE confiable puede activar la carga \u00fatil a trav\u00e9s de la configuraci\u00f3n del proyecto\u00bb.<\/p>\n<p>\u00abEsto refuerza el tema m\u00e1s amplio de la campa\u00f1a: Miasma se est\u00e1 moviendo a trav\u00e9s de ecosistemas de paquetes al apuntar a los flujos de trabajo de los desarrolladores, no solo a los ganchos de instalaci\u00f3n del administrador de paquetes\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Los investigadores de ciberseguridad han se\u00f1alado otra evoluci\u00f3n del ataque a la cadena de suministro vinculado a la familia de malware Mini Shai-Hulud, Miasma y Hades que ha comprometido un nuevo conjunto de paquetes npm, incluso cuando se ha propagado al ecosistema Go. \u00abLa \u00faltima actividad incluye lanzamientos maliciosos de npm que afectan a los [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[1129,27,181,249,24,931,60,2832,277,276,250],"class_list":["post-1312","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-acciones","tag-apunta","tag-ataque","tag-cadena","tag-cyberdefensa-mx","tag-github","tag-malware","tag-miasma","tag-npm","tag-paquetes","tag-suministro"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1312","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1312"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1312\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1312"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1312"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1312"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}