{"id":730,"date":"2026-05-01T10:08:05","date_gmt":"2026-05-01T10:08:05","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/01\/ruby-gems-y-modulos-go-envenenados-explotan-las-canalizaciones-de-ci-para-el-robo-de-credenciales-cyberdefensa-mx\/"},"modified":"2026-05-01T10:08:05","modified_gmt":"2026-05-01T10:08:05","slug":"ruby-gems-y-modulos-go-envenenados-explotan-las-canalizaciones-de-ci-para-el-robo-de-credenciales-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/01\/ruby-gems-y-modulos-go-envenenados-explotan-las-canalizaciones-de-ci-para-el-robo-de-credenciales-cyberdefensa-mx\/","title":{"rendered":"Ruby Gems y m\u00f3dulos Go envenenados explotan las canalizaciones de CI para el robo de credenciales \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Se ha observado una nueva campa\u00f1a de ataque a la cadena de suministro de software que utiliza paquetes durmientes como conducto para impulsar posteriormente cargas \u00fatiles maliciosas que permitieron el robo de credenciales, la manipulaci\u00f3n de GitHub Actions y la persistencia de SSH.<\/p>\n<p>La actividad se ha atribuido a la cuenta de GitHub \u00ab<strong>BufferZoneCorp<\/strong>,\u00bb, que ha publicado un conjunto de repositorios asociados con gemas Ruby maliciosas y m\u00f3dulos Go. Al momento de escribir este art\u00edculo, los paquetes han sido retirados de RubyGems y los m\u00f3dulos Go han sido bloqueados. Los nombres de las bibliotecas se enumeran a continuaci\u00f3n:<\/p>\n<ul>\n<li><strong>Rub\u00ed:<\/strong>\n<ul>\n<li>registrador de soporte activo de nudos<\/li>\n<li>nudo-dise\u00f1ar-jwt-ayudante<\/li>\n<li>tienda-de-sesiones-en-nudos<\/li>\n<li>tuber\u00eda-de-activos-de-rieles-de-nudos<\/li>\n<li>nudo-rspec-formateador-json<\/li>\n<li>nudo-fecha-utils-rb (gema durmiente)<\/li>\n<li>nudo-simple-formateador (gema durmiente)<\/li>\n<\/ul>\n<\/li>\n<li><strong>Ir:<\/strong>\n<ul>\n<li>github[.]es\/BufferZoneCorp\/go-metrics-sdk<\/li>\n<li>github[.]es\/BufferZoneCorp\/go-weather-sdk<\/li>\n<li>github[.]es\/BufferZoneCorp\/go-retryablehttp<\/li>\n<li>github[.]es\/BufferZoneCorp\/go-stdlib-ext<\/li>\n<li>github[.]es\/BufferZoneCorp\/grpc-client<\/li>\n<li>github[.]es\/BufferZoneCorp\/net-helper<\/li>\n<li>github[.]es\/BufferZoneCorp\/config-loader<\/li>\n<li>github[.]com\/BufferZoneCorp\/log-core (m\u00f3dulo durmiente)<\/li>\n<li>github[.]com\/BufferZoneCorp\/go-envconfig (m\u00f3dulo durmiente)<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p>Los paquetes identificados se hacen pasar por m\u00f3dulos reconocibles y conocidos como activesupport-logger, devise-jwt, go-retryablehttp, grpc-client y config-loader para evadir la detecci\u00f3n y enga\u00f1ar a los usuarios para que los descarguen.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/threatlabz-vpn-risk-2026-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhnNON5UeWywT7OcPNw7V4L7QNWnCnm7Xl_99Y9ek8dL-gRwx-bWxQM1TKqt8deqqrdpUyKMuuijAWyyPQVB0s0qf8ntQ6ldFAJLru-QUWhddKTopc7SeNbBBnd-TsfFyRPP-AAyDuclLlL6XHK4_LXqDC_7eyaz9pzToYr7U543MhrJ7qcK-89sVWHTQUZ\/s728-e100\/zz-2-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>\u00abLa cuenta es parte de una campa\u00f1a de la cadena de suministro de software dirigida a desarrolladores, corredores de CI y entornos de construcci\u00f3n en dos ecosistemas\u00bb, dijo el investigador de seguridad de Socket Kirill Boychenko. <a href=\"https:\/\/socket.dev\/blog\/malicious-ruby-gems-and-go-modules-steal-secrets-poison-ci\">dicho<\/a> en un an\u00e1lisis publicado hoy.<\/p>\n<p>Las gemas Ruby est\u00e1n dise\u00f1adas para automatizar el robo de credenciales durante el tiempo de instalaci\u00f3n, recolectando variables de entorno, claves SSH, secretos de AWS, .npmrc, .netrc, configuraci\u00f3n de GitHub CLI y credenciales de RubyGems. Los datos robados luego se filtran a un Webhook controlado por el atacante.[.]punto final del sitio.<\/p>\n<p>Por otro lado, los m\u00f3dulos Go albergan capacidades m\u00e1s amplias para alterar los flujos de trabajo de GitHub Actions, colocar envoltorios Go falsos, robar datos de desarrolladores y agregar una clave p\u00fablica SSH codificada a \u00ab~\/.ssh\/authorized_keys\u00bb para acceso remoto al host comprometido. No todos los m\u00f3dulos tienen la misma carga \u00fatil; en cambio, est\u00e1n distribuidos por todo el grupo.<\/p>\n<p>\u00abEl m\u00f3dulo se ejecuta a trav\u00e9s de init(), detecta GITHUB_ENV y GITHUB_PATH, configura HTTP_PROXY y HTTPS_PROXY, escribe un ejecutable go falso en un directorio de cach\u00e9 y agrega ese directorio a la ruta del flujo de trabajo para que el contenedor se seleccione antes que el binario real\u00bb, explic\u00f3 Boychenko.<\/p>\n<p>\u00abEse contenedor puede luego interceptar o influir en ejecuciones posteriores y al mismo tiempo pasar el control al binario leg\u00edtimo para evitar interrumpir el trabajo\u00bb.<\/p>\n<p>Se recomienda a los usuarios que hayan instalado los paquetes que los eliminen de sus sistemas, revisen los signos de acceso a archivos confidenciales o cambios no autorizados en \u00ab~\/.ssh\/authorized_keys\u00bb, roten las credenciales expuestas e inspeccionen los registros de red para detectar tr\u00e1fico HTTPS saliente al punto de exfiltraci\u00f3n.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Se ha observado una nueva campa\u00f1a de ataque a la cadena de suministro de software que utiliza paquetes durmientes como conducto para impulsar posteriormente cargas \u00fatiles maliciosas que permitieron el robo de credenciales, la manipulaci\u00f3n de GitHub Actions y la persistencia de SSH. La actividad se ha atribuido a la cuenta de GitHub \u00abBufferZoneCorp,\u00bb, que [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":731,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[730,469,24,2233,729,2231,95,2232,36,47,2230],"class_list":["post-730","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-canalizaciones","tag-credenciales","tag-cyberdefensa-mx","tag-envenenados","tag-explotan","tag-gems","tag-las","tag-modulos","tag-para","tag-robo","tag-ruby"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/730","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=730"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/730\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/731"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=730"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=730"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=730"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}