{"id":910,"date":"2026-05-19T08:41:43","date_gmt":"2026-05-19T08:41:43","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/19\/consola-nx-comprometida-18-95-0-dirigida-a-desarrolladores-de-codigo-vs-con-ladron-de-credenciales-cyberdefensa-mx\/"},"modified":"2026-05-19T08:41:43","modified_gmt":"2026-05-19T08:41:43","slug":"consola-nx-comprometida-18-95-0-dirigida-a-desarrolladores-de-codigo-vs-con-ladron-de-credenciales-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/19\/consola-nx-comprometida-18-95-0-dirigida-a-desarrolladores-de-codigo-vs-con-ladron-de-credenciales-cyberdefensa-mx\/","title":{"rendered":"Consola Nx comprometida 18.95.0 dirigida a desarrolladores de c\u00f3digo VS con ladr\u00f3n de credenciales \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Los investigadores de ciberseguridad han detectado una versi\u00f3n comprometida de la extensi\u00f3n de la consola Nx que se public\u00f3 en el mercado de Microsoft Visual Studio Code (VS Code).<\/p>\n<p>La extensi\u00f3n en cuesti\u00f3n es <a href=\"https:\/\/marketplace.visualstudio.com\/items?itemName=nrwl.angular-console\">rwl.angular-consola<\/a> (versi\u00f3n 18.95.0), una interfaz de usuario y complemento popular para editores de c\u00f3digo como VS Code, Cursor y JetBrains. La extensi\u00f3n VS Code tiene m\u00e1s de 2,2 millones de instalaciones. La versi\u00f3n Open VSX no se ha visto afectada por el incidente.<\/p>\n<p>\u00abA los pocos segundos de que un desarrollador abriera cualquier espacio de trabajo, la extensi\u00f3n comprometida busc\u00f3 y ejecut\u00f3 silenciosamente una carga \u00fatil ofuscada de 498 KB de una confirmaci\u00f3n hu\u00e9rfana oculta dentro del repositorio oficial de GitHub nrwl\/nx\u00bb, dijo el investigador de StepSecurity Ashish Kurmi. <a href=\"https:\/\/www.stepsecurity.io\/blog\/nx-console-vs-code-extension-compromised\">dicho<\/a>.<\/p>\n<p>La carga \u00fatil es una \u00abherramienta de envenenamiento de la cadena de suministro y ladr\u00f3n de credenciales de varias etapas\u00bb que recopila secretos de los desarrolladores y los filtra a trav\u00e9s de HTTPS, la API de GitHub y el t\u00fanel DNS. Tambi\u00e9n instala una puerta trasera de Python en sistemas macOS que abusa de la API de b\u00fasqueda de GitHub como un solucionador muerto para recibir m\u00e1s comandos.<\/p>\n<p>En un aviso emitido el lunes, los mantenedores de la extensi\u00f3n <a href=\"https:\/\/github.com\/nrwl\/nx-console\/security\/advisories\/GHSA-c9j4-9m59-847w\">dicho<\/a> La causa ra\u00edz se remonta a uno de sus desarrolladores, cuya m\u00e1quina se vio comprometida en un incidente de seguridad reciente que filtr\u00f3 sus credenciales de GitHub. Aunque no se revel\u00f3 la naturaleza del \u00abincidente\u00bb anterior, las credenciales del desarrollador han sido revocadas temporalmente.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/threatlabz-vpn-risk-2026-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhnNON5UeWywT7OcPNw7V4L7QNWnCnm7Xl_99Y9ek8dL-gRwx-bWxQM1TKqt8deqqrdpUyKMuuijAWyyPQVB0s0qf8ntQ6ldFAJLru-QUWhddKTopc7SeNbBBnd-TsfFyRPP-AAyDuclLlL6XHK4_LXqDC_7eyaz9pzToYr7U543MhrJ7qcK-89sVWHTQUZ\/s728-e100\/zz-2-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Se dice que se ha abusado del acceso proporcionado por las credenciales para enviar un compromiso hu\u00e9rfano y sin firmar a nrwl\/nx, que introduce el malware ladr\u00f3n. La acci\u00f3n maliciosa se activa tan pronto como un desarrollador abre cualquier espacio de trabajo en VS Code, lo que lleva a la instalaci\u00f3n del tiempo de ejecuci\u00f3n Bun JavaScript para ejecutar una carga \u00fatil \u00abindex.js\u00bb ofuscada.<\/p>\n<p>El malware ejecuta comprobaciones para evitar infectar m\u00e1quinas probablemente ubicadas en las zonas horarias de Rusia\/CEI y se lanza como un proceso en segundo plano independiente para iniciar el flujo de trabajo de recolecci\u00f3n de credenciales, lo que le permite recuperar secretos de las b\u00f3vedas de 1Password y las configuraciones de Anthropic Claude Code, y secretos asociados con npm, GitHub y Amazon Web Services (AWS).<\/p>\n<p>\u00abUna capacidad que se destaca: la carga \u00fatil contiene integraci\u00f3n completa de Sigstore, incluida la emisi\u00f3n de certificados Fulcio y la generaci\u00f3n de procedencia SLSA\u00bb, dijo StepSecurity. \u00abCombinado con tokens npm OIDC robados, esto significa que el atacante podr\u00eda publicar paquetes npm posteriores con certificaciones de procedencia v\u00e1lidas y firmadas criptogr\u00e1ficamente, haciendo que los paquetes maliciosos parezcan compilaciones leg\u00edtimas y verificadas\u00bb.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEg57zzTzFXhbcEZXD8lKUO4OIdWgjL-FSyzxbAIFHT896u5OMxQH6PjsaTCl-BzaMUfvrE1gRtZY5DBOAr9MdNnyr1ZJYfTWo49xdfGyTiXD8pTjxyeqtxr3wWOganixx3wxWpPfJUFzjD9oWr5SqVa6ZI-y3iYuhsmzSY-VpA2UcSC8C2DXr7BsXHYdZ1L\/s1700-e365\/step.png\" style=\"display: block;  text-align: center; clear: left; float: left;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEg57zzTzFXhbcEZXD8lKUO4OIdWgjL-FSyzxbAIFHT896u5OMxQH6PjsaTCl-BzaMUfvrE1gRtZY5DBOAr9MdNnyr1ZJYfTWo49xdfGyTiXD8pTjxyeqtxr3wWOganixx3wxWpPfJUFzjD9oWr5SqVa6ZI-y3iYuhsmzSY-VpA2UcSC8C2DXr7BsXHYdZ1L\/s1700-e365\/step.png\" alt=\"\" border=\"0\" data-original-height=\"4340\" data-original-width=\"5808\"\/><\/a><\/div>\n<p>El equipo de Nx tambi\u00e9n reconoci\u00f3 que \u00abalgunos usuarios se vieron comprometidos\u00bb como resultado de esta infracci\u00f3n. Adem\u00e1s de instar a los usuarios a actualizar a 18.100.0 o posterior, los mantenedores han publicado los siguientes indicadores de compromiso:<\/p>\n<ul>\n<li>La versi\u00f3n 18.95.0 de Nx Console se instal\u00f3 durante el per\u00edodo de exposici\u00f3n entre el 18 de mayo de 2026, a las 2:36 p. m. CEST y a las 2:47 p. m. CEST.<\/li>\n<li>Presencia de archivos como ~\/.local\/share\/kitty\/cat.py, ~\/Library\/LaunchAgents\/com.user.kitty-monitor.plist, \/var\/tmp\/.gh_update_state o \/tmp\/kitty-*.<\/li>\n<li>Presencia de cualquiera de los siguientes procesos en ejecuci\u00f3n: un proceso de Python que ejecuta cat.py y un proceso con __DAEMONIZED=1 en su entorno.<\/li>\n<\/ul>\n<p>Se recomienda a los usuarios afectados que finalicen los procesos antes mencionados, eliminen los artefactos en el disco y roten todas las credenciales accesibles desde la m\u00e1quina afectada, incluidos tokens, secretos y claves SSH.<\/p>\n<p>Este desarrollo marca la segunda vez que se ataca al ecosistema Nx en un a\u00f1o. En agosto de 2025, se lanzaron varios paquetes npm. <a href=\"https:\/\/www.stepsecurity.io\/blog\/supply-chain-security-alert-popular-nx-build-system-package-compromised-with-data-stealing-malware\">infectado<\/a> por un ladr\u00f3n de credenciales como parte de una campa\u00f1a de ataque a la cadena de suministro llamada s1ngularity. A diferencia de la iteraci\u00f3n anterior, el \u00faltimo ataque tiene como objetivo la extensi\u00f3n VS Code.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-cant-stop-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjPEV6-530TOlxG6PjrmdlY623wpBwduZ7t1HV6flcmO5R4q4AmfixDUzW0CrhlvMVNWbhvOIso-UDNTka4W_W9Chrdj_dglwBZwi7DuePM2IMIl-hfUYVIqBXgfpr_2619K8Gptb4LzwJ6gUbi7lWl2M8AFQJsHEaw63Q7tZ6708YGruiHrr0Y2W9YYxLQ\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<h3>Paquetes npm maliciosos en abundancia<\/h3>\n<p>Los hallazgos coinciden con el descubrimiento de varios paquetes maliciosos en los repositorios de c\u00f3digo abierto.<\/p>\n<ul>\n<li><a href=\"https:\/\/safedep.io\/malicious-npm-packages-claude-code-hooks\/\">iceberg-javascript, supabase-javascript, auth-javascript, microsoft-applicationinsights-common y ms-graph-types<\/a>: Cinco paquetes npm que contienen un binario ELF oculto que bloquea las sesiones de Claude Code para robar credenciales de desarrollador.<\/li>\n<li><a href=\"https:\/\/safedep.io\/malicious-noon-contracts-npm-defi-rat\/\">contratos de mediod\u00eda<\/a>: un paquete npm que se hace pasar por un SDK de contrato inteligente de Noon Protocol para extraer claves SSH, claves privadas de billetera criptogr\u00e1fica, credenciales de AWS, secretos de Kubernetes, todos los archivos .env, historial de shell, tokens Docker\/Git\/npm y rutas de almacenamiento de billetera del navegador.<\/li>\n<li><a href=\"https:\/\/safedep.io\/malicious-martinez-polygon-clipping-tony-npm-telegram-rat\/\">martinez-pol\u00edgono-recorte-tony<\/a>una bifurcaci\u00f3n troyanizada de martinez-polygon-clipping que usa un gancho postinstalaci\u00f3n para descargar un troyano de acceso remoto (RAT) de Windows empaquetado con PyInstaller de 17 MB que usa Telegram para comando y control (C2) para ejecuci\u00f3n remota de shell, captura de pantalla, carga\/descarga de archivos y ejecuci\u00f3n arbitraria de Python.<\/li>\n<li><a href=\"https:\/\/safedep.io\/malicious-common-tg-service-npm-telegram-hijacking-framework\/\">servicio-tg-com\u00fan<\/a>: un paquete npm que contiene funcionalidad para hacerse cargo de la cuenta de Telegram de una v\u00edctima mientras se hace pasar por \u00abservicio com\u00fan de Telegram para aplicaciones NestJS\u00bb.<\/li>\n<li><a href=\"https:\/\/safedep.io\/malicious-exiouss-npm-exam-cheating-tool\/\">exiosos<\/a>: un paquete npm que incluye un ladr\u00f3n de cookies de sesi\u00f3n ChatGPT y OpenAI dirigido a navegadores web como Google Chrome, Microsoft Edge y Brave.<\/li>\n<li><a href=\"https:\/\/panther.com\/blog\/mapping-the-infrastructure-behind-the-kube-health-tools-supply-chain-malware\">k8s-pod-checker, dev-env-setup y node-perf-utils<\/a>: tres paquetes npm <a href=\"https:\/\/panther.com\/blog\/tunnel-vision-supply-chain-attack-targets-kubernetes-via-npm-and-pypi\">parte<\/a> del cl\u00faster kube-health-tools que instala un servicio proxy de modelo de lenguaje grande (LLM) en la m\u00e1quina de la v\u00edctima, lo que permite al atacante enrutar el tr\u00e1fico LLM a trav\u00e9s del servidor comprometido<\/li>\n<li>A <a href=\"https:\/\/panther.com\/blog\/frankly-malicious-inside-a-38-package-npm-supply-chain-campaign-targeting-tech-giants\">campa\u00f1a coordinada de recolecci\u00f3n de credenciales<\/a> orquestado por un actor de amenazas de habla indonesia que utiliza un conjunto de paquetes de 38 npm que aprovecha la confusi\u00f3n de dependencias como una forma de enga\u00f1ar a los canales de CI\/CD para resolver paquetes p\u00fablicos maliciosos antes que los privados leg\u00edtimos asociados con Apple, Google y Alibaba, entre otros.<\/li>\n<li>Una campa\u00f1a inusual en la que siete paquetes npm bajo el <a href=\"https:\/\/panther.com\/blog\/4-years-51-packages-3-organizations-how-npm-became-a-gambling-ring-s-config-server\">@ organizaci\u00f3n del equipo hd<\/a> Se ha descubierto que act\u00faan como escenario de las configuraciones utilizadas por una plataforma china de apuestas deportivas y transmisi\u00f3n pirata llamada Douqiu para determinar los servidores backend a los que conectarse.<\/li>\n<\/ul>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Los investigadores de ciberseguridad han detectado una versi\u00f3n comprometida de la extensi\u00f3n de la consola Nx que se public\u00f3 en el mercado de Microsoft Visual Studio Code (VS Code). La extensi\u00f3n en cuesti\u00f3n es rwl.angular-consola (versi\u00f3n 18.95.0), una interfaz de usuario y complemento popular para editores de c\u00f3digo como VS Code, Cursor y JetBrains. La [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":731,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[2607,376,1420,31,2606,469,24,53,462,1364],"class_list":["post-910","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-18-95-0","tag-codigo","tag-comprometida","tag-con","tag-consola","tag-credenciales","tag-cyberdefensa-mx","tag-desarrolladores","tag-dirigida","tag-ladron"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/910","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=910"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/910\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/731"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=910"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=910"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=910"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}