{"id":999,"date":"2026-05-27T17:47:55","date_gmt":"2026-05-27T17:47:55","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/27\/el-paquete-malicioso-npm-robo-archivos-del-directorio-de-usuarios-de-claude-ai-a-traves-de-github-cyberdefensa-mx\/"},"modified":"2026-05-27T17:47:55","modified_gmt":"2026-05-27T17:47:55","slug":"el-paquete-malicioso-npm-robo-archivos-del-directorio-de-usuarios-de-claude-ai-a-traves-de-github-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/27\/el-paquete-malicioso-npm-robo-archivos-del-directorio-de-usuarios-de-claude-ai-a-traves-de-github-cyberdefensa-mx\/","title":{"rendered":"El paquete malicioso npm rob\u00f3 archivos del directorio de usuarios de Claude AI a trav\u00e9s de GitHub \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Investigadores de ciberseguridad han descubierto un nuevo paquete malicioso en el registro npm que viene con capacidades de robo de informaci\u00f3n.<\/p>\n

Seg\u00fan OX Security, el paquete, denominado \u00abmouse5212-superformateador<\/a>,\u00bb est\u00e1 dise\u00f1ado para cargar archivos desde \u00ab\/mnt\/user-data\u00bb, un directorio dedicado utilizado por la herramienta de inteligencia artificial (IA) Claude de Anthropic para manejar cargas y salidas en segundo plano. La actividad tiene un nombre en c\u00f3digo Derrame de malware<\/b>.<\/p>\n

\u00abAl analizar el malware, resulta que el script se presenta como una utilidad interna de ‘sincronizaci\u00f3n de implementaci\u00f3n de archivos’ que valida o inicializa un repositorio de GitHub, captura una instant\u00e1nea liviana del ‘estado de la red’ y luego realiza una sincronizaci\u00f3n estructurada de los archivos del espacio de trabajo local en un \u00e1rbol de seguimiento remoto\u00bb, investigadores Moshe Siman Tov Bustan y Nir Zadok dicho<\/a>.<\/p>\n

Sin embargo, en realidad, se autentica en GitHub durante la etapa posterior a la instalaci\u00f3n, ya sea usando un token de acceso de GitHub que se encuentra en el entorno de la v\u00edctima o un token codificado como respaldo, verifica si existe un repositorio de destino y, si no, lo crea y luego carga recursivamente cada archivo en un repositorio controlado por el actor de amenazas. cuenta GitHub<\/a>.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Los archivos robados se almacenan en carpetas con nombres aleatorios para ayudar al operador a distinguir entre diferentes sesiones de robo. El malware tambi\u00e9n escribe un registro de \u00abconexiones de red\u00bb falso para dar la impresi\u00f3n de que est\u00e1 enviando informaci\u00f3n de diagn\u00f3stico, al tiempo que oculta su verdadero comportamiento operativo de recopilaci\u00f3n no autorizada y transferencia remota de datos locales.<\/p>\n

El paquete todav\u00eda est\u00e1 disponible para descargar desde npm y se estima que se descarg\u00f3 676 veces. Sin embargo, a\u00fan no est\u00e1 claro cu\u00e1ntos de estos corresponden a instalaciones reales. La cuenta de GitHub vinculada a la campa\u00f1a ya no est\u00e1 disponible, aunque OX se\u00f1al\u00f3 que se cre\u00f3 el 26 de mayo de 2026, unas horas antes de que se cargara la primera versi\u00f3n maliciosa en npm.<\/p>\n

\"\"<\/a><\/div>\n

Lo notable del paquete es que filtr\u00f3 detalles de la cuenta de GitHub, incluido su token privado, lo que plantea la posibilidad de que el actor de amenazas est\u00e9 utilizando IA para generar malware sin implementar las mejores pr\u00e1cticas de seguridad operativa b\u00e1sica (OPSEC).<\/p>\n

\u00abAhora que la barra para crear c\u00f3digo malicioso se redujo significativamente, veremos m\u00e1s actores de amenazas entrando al juego: cargando m\u00e1s malwares descuidados, en su mayor\u00eda imitando grupos APT para obtener una porci\u00f3n del pastel hasta que npm comience a bloquear autom\u00e1ticamente el malware por completo\u00bb, dijo OX Security.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Investigadores de ciberseguridad han descubierto un nuevo paquete malicioso en el registro npm que viene con capacidades de robo de informaci\u00f3n. Seg\u00fan OX Security, el paquete, denominado \u00abmouse5212-superformateador,\u00bb est\u00e1 dise\u00f1ado para cargar archivos desde \u00ab\/mnt\/user-data\u00bb, un directorio dedicado utilizado por la herramienta de inteligencia artificial (IA) Claude de Anthropic para manejar cargas y salidas en […]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[1339,16,24,70,2743,931,41,277,40,47,76,1115],"class_list":["post-999","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-archivos","tag-claude","tag-cyberdefensa-mx","tag-del","tag-directorio","tag-github","tag-malicioso","tag-npm","tag-paquete","tag-robo","tag-traves","tag-usuarios"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/999","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=999"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/999\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=999"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=999"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=999"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}