{"id":721,"date":"2026-04-30T17:46:37","date_gmt":"2026-04-30T17:46:37","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/30\/pytorch-lightning-y-cliente-de-intercomunicacion-atacan-la-cadena-de-suministro-para-robar-credenciales-cyberdefensa-mx\/"},"modified":"2026-04-30T17:46:37","modified_gmt":"2026-04-30T17:46:37","slug":"pytorch-lightning-y-cliente-de-intercomunicacion-atacan-la-cadena-de-suministro-para-robar-credenciales-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/30\/pytorch-lightning-y-cliente-de-intercomunicacion-atacan-la-cadena-de-suministro-para-robar-credenciales-cyberdefensa-mx\/","title":{"rendered":"PyTorch Lightning y cliente de intercomunicaci\u00f3n atacan la cadena de suministro para robar credenciales \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

En otro ataque m\u00e1s a la cadena de suministro de software, los actores de amenazas lograron comprometer el popular paquete Python. Iluminaci\u00f3n<\/a> para impulsar dos versiones maliciosas para realizar el robo de credenciales.<\/p>\n

De acuerdo a Seguridad del Aikido<\/a>, Seguridad buey<\/a>, Enchufe<\/a>y PasoSeguridad<\/a>las dos versiones maliciosas son las versiones 2.6.2 y 2.6.3, las cuales se publicaron el 30 de abril de 2026. Se considera que la campa\u00f1a es una extensi\u00f3n de la Incidente en la cadena de suministro de Mini Shai-Hulud<\/a> que apunt\u00f3 a paquetes npm relacionados con SAP el mi\u00e9rcoles.<\/p>\n

Al momento de escribir este art\u00edculo, los administradores del repositorio del \u00edndice de paquetes de Python (PyPI) han puesto en cuarentena el proyecto. PyTorch Lightning es un marco Python de c\u00f3digo abierto<\/a> que proporciona una interfaz de alto nivel para PyTorch. El proyecto de c\u00f3digo abierto tiene m\u00e1s de 31.100 estrellas en GitHub.<\/p>\n

\u00abEl paquete malicioso incluye un directorio _runtime oculto que contiene un descargador y una carga \u00fatil de JavaScript ofuscada\u00bb, dijo Socket. \u00abLa cadena de ejecuci\u00f3n se ejecuta autom\u00e1ticamente cuando se importa el m\u00f3dulo Lightning, y no requiere ninguna acci\u00f3n adicional del usuario despu\u00e9s de la instalaci\u00f3n e importaci\u00f3n\u00bb.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

La cadena de ataque allana el camino para un script de Python (\u00abstart.py\u00bb), que descarga y ejecuta el tiempo de ejecuci\u00f3n de Bun JavaScript, y luego lo utiliza para ejecutar una carga \u00fatil maliciosa ofuscada de 11 MB (\u00abrouter_runtime.js\u00bb) con el objetivo de realizar un robo de credenciales integral.<\/p>\n

Los mantenedores del proyecto tienen admitido<\/a> que \u00absomos conscientes del problema y estamos investigando activamente\u00bb. Actualmente no est\u00e1 claro c\u00f3mo ocurri\u00f3 el incidente, pero hay indicios de que la cuenta de GitHub del proyecto se ha visto comprometida.<\/p>\n

\"\"<\/a><\/div>\n

De entre las credenciales recopiladas, los tokens de GitHub se validan con el archivo \u00abapi.github[.]com\/user\u00bb antes de usarse para inyectar una carga \u00fatil similar a un gusano en hasta 50 ramas recuperadas de cada repositorio en el que el token puede escribir.<\/p>\n

\u00abLa operaci\u00f3n es un upsert: crea archivos que a\u00fan no existen y sobrescribe silenciosamente los archivos que s\u00ed existen\u00bb, agreg\u00f3 Socket. \u00abNo se realiza ninguna verificaci\u00f3n previa del contenido existente. Cada confirmaci\u00f3n envenenada se crea utilizando una identidad codificada dise\u00f1ada para hacerse pasar por el C\u00f3digo Claude de Anthropic\u00bb.<\/p>\n

\"\"<\/a><\/div>\n

Por otra parte, el malware implementa un vector de propagaci\u00f3n basado en npm que modifica los paquetes npm locales del desarrollador con un gancho postinstalaci\u00f3n en el archivo \u00abpackage.json\u00bb para invocar la carga maliciosa, aumenta el n\u00famero de versi\u00f3n del parche y vuelve a empaquetar los archivos comprimidos .tgz. Si el desarrollador desprevenido publica los paquetes manipulados desde su entorno local, estar\u00e1n disponibles en npm, desde donde el malware termina en los sistemas de los usuarios posteriores.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Mientras tanto, se recomienda bloquear las versiones 2.6.2 y 2.6.3 de Lightning y eliminarlas de los sistemas de desarrollador, si ya est\u00e1n instaladas. Tambi\u00e9n es esencial degradar a la \u00faltima versi\u00f3n limpia conocida, 2.6.1, y rotar las credenciales expuestas en los entornos afectados.<\/p>\n

El ataque a la cadena de suministro es la \u00faltima incorporaci\u00f3n a una larga lista de compromisos llevados a cabo por un actor de amenazas conocido como TeamPCP, que ahora lanz\u00f3 un sitio web cebolla en la web oscura despu\u00e9s de que su cuenta fuera suspendida en X por violar las reglas de la plataforma.<\/p>\n

Tambi\u00e9n calific\u00f3 a LAPSUS$ como \u00abun buen socio nuestro y que ha estado muy involucrado durante toda esta operaci\u00f3n\u00bb. El grupo tambi\u00e9n destac\u00f3 que \u00abnunca ha utilizado herramientas de cifrado VECT y somos due\u00f1os de CipherForce, nuestro propio casillero privado\u00bb, luego de un informe de Check Point Research sobre vulnerabilidades descubiertas en el proceso de cifrado del ransomware.<\/p>\n

Paquete Intercom npm comprometido como parte de Mini Shai-Hulud<\/h3>\n

En un desarrollo relacionado, surgi\u00f3 que la versi\u00f3n 7.0.4 de cliente de intercomunicaci\u00f3n<\/a> se ha visto comprometido como parte de la campa\u00f1a Mini Shai-Hulud, siguiendo un modus operandi similar al de los paquetes SAP para desencadenar la ejecuci\u00f3n de un malware de robo de credenciales utilizando un gancho de preinstalaci\u00f3n.<\/p>\n

\u00abLa superposici\u00f3n es significativa porque la campa\u00f1a SAP CAP estaba vinculada a la actividad de TeamPCP en base a detalles t\u00e9cnicos compartidos, incluidos patrones distintivos de implementaci\u00f3n de carga \u00fatil, exfiltraci\u00f3n basada en GitHub, recolecci\u00f3n de credenciales en entornos de desarrollador y CI\/CD, y similitudes con ataques anteriores que afectaron a Checkmarx, Bitwarden, Telnyx, LiteLLM y Aqua Security Trivy\u00bb, Socket dicho<\/a>.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

En otro ataque m\u00e1s a la cadena de suministro de software, los actores de amenazas lograron comprometer el popular paquete Python. Iluminaci\u00f3n para impulsar dos versiones maliciosas para realizar el robo de credenciales. De acuerdo a Seguridad del Aikido, Seguridad buey, Enchufey PasoSeguridadlas dos versiones maliciosas son las versiones 2.6.2 y 2.6.3, las cuales se […]<\/p>\n","protected":false},"author":1,"featured_media":576,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[543,249,2218,469,24,2219,2217,36,2216,703,250],"class_list":["post-721","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-atacan","tag-cadena","tag-cliente","tag-credenciales","tag-cyberdefensa-mx","tag-intercomunicacion","tag-lightning","tag-para","tag-pytorch","tag-robar","tag-suministro"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/721","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=721"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/721\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/576"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=721"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=721"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=721"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}