Gusano malicioso compromete dominios cripto en un ataque a la cadena de suministro
El 24 de noviembre, la firma de seguridad Aikido detectó una segunda ola del gusano auto-replicante de npm Shai-Hulud, que comprometió 492 paquetes con un total combinado de 132 millones de descargas mensuales.
El ataque afectó a ecosistemas importantes, incluyendo AsyncAPI, PostHog, Postman, Zapier y ENS, aprovechando las últimas semanas antes de la fecha límite del 9 de diciembre de npm para revocar los tokens de autenticación heredados.
La cola de triaje de Aikido marcó la intrusión alrededor de las 3:16 AM UTC, cuando versiones maliciosas de go-template de AsyncAPI y 36 paquetes relacionados comenzaron a propagarse por el registro.
El atacante etiquetó los repositorios de credenciales robadas con la descripción “Sha1-Hulud: The Second Coming”, manteniendo la marca teatral de la campaña de septiembre.
El gusano instala el entorno de ejecución Bun durante la configuración del paquete y luego ejecuta código malicioso que busca secretos expuestos en los entornos de los desarrolladores utilizando TruffleHog.
Las claves API comprometidas, los tokens de GitHub y las credenciales de npm se publican en repositorios públicos con nombres aleatorios, y el malware intenta propagarse subiendo nuevas versiones infectadas a hasta 100 paquetes adicionales, cinco veces la escala del ataque de septiembre.
Evolución técnica y carga destructiva
La iteración de noviembre introduce varias modificaciones respecto al ataque de septiembre.
El malware ahora crea repositorios con nombres generados aleatoriamente para los datos robados en lugar de usar nombres codificados, lo que complica los esfuerzos para eliminarlos.
El código de configuración instala Bun a través de setup_bun.js antes de ejecutar la carga principal en bun_environment.js, que contiene la lógica del gusano y las rutinas de exfiltración de credenciales.
La adición más destructiva: si el malware no puede autenticarse con GitHub o npm usando las credenciales robadas, borra todos los archivos en el directorio home del usuario.
El análisis de Aikido reveló errores de ejecución que limitaron la propagación del ataque. El código de empaquetado que copia el gusano completo en nuevos paquetes a veces no incluye bun_environment.js, dejando solo el script de instalación de Bun sin la carga maliciosa.
A pesar de estos fallos, los compromisos iniciales afectaron a objetivos de alto valor con una exposición masiva aguas abajo.
Los paquetes de AsyncAPI dominaron la primera ola, con 36 lanzamientos comprometidos incluyendo @asyncapi/cli, @asyncapi/parser y @asyncapi/generator.
PostHog siguió a las 4:11 AM UTC, con versiones infectadas de posthog-js, posthog-node y docenas de plugins. Los paquetes de Postman llegaron a las 5:09 AM UTC.
El compromiso de Zapier afectó a @zapier/zapier-sdk, zapier-platform-cli y zapier-platform-core, mientras que el compromiso de ENS afectó a @ensdomains/ensjs, @ensdomains/ens-contracts y ethereum-ens.
La creación de ramas en GitHub sugiere acceso a nivel de repositorio
El equipo de AsyncAPI descubrió una rama maliciosa en su repositorio CLI creada inmediatamente antes de que los paquetes comprometidos aparecieran en npm.
La rama contenía una versión desplegada del malware Shai-Hulud, lo que indica que el atacante obtuvo acceso de escritura al propio repositorio en lugar de simplemente secuestrar tokens de npm.
Esta escalada refleja la técnica utilizada en el compromiso original de Nx, en el que los atacantes modificaron los repositorios fuente para inyectar código malicioso en pipelines de compilación legítimos.
Aikido estima que ahora hay 26.300 repositorios de GitHub que contienen credenciales robadas marcadas con la descripción “Sha1-Hulud: The Second Coming”.
Los repositorios contienen secretos expuestos por entornos de desarrolladores que ejecutaron los paquetes comprometidos, incluyendo credenciales de servicios en la nube, tokens de CI/CD y claves de autenticación para APIs de terceros.
La naturaleza pública de las filtraciones amplifica el daño: cualquier atacante que monitoree los repositorios puede recolectar credenciales en tiempo real y lanzar ataques secundarios.
Momento del ataque y mitigación
El momento coincide con el anuncio de npm del 15 de noviembre de que revocará los tokens de autenticación clásicos el 9 de diciembre.
La decisión del atacante de lanzar una última campaña a gran escala antes de la fecha límite sugiere que reconoció que la ventana para compromisos basados en tokens se estaba cerrando. La cronología de Aikido muestra que la primera ola de Shai-Hulud comenzó el 16 de septiembre.
El “Second Coming” del 24 de noviembre representa la última oportunidad del atacante para explotar tokens heredados antes de que la migración de npm corte ese acceso.
Aikido recomienda que los equipos de seguridad auditen todas las dependencias de los ecosistemas afectados, particularmente los paquetes de Zapier, ENS, AsyncAPI, PostHog y Postman instalados o actualizados después del 24 de noviembre.
Las organizaciones deben rotar todas las credenciales de GitHub, npm, cloud y CI/CD utilizadas en entornos donde estuvieron presentes estos paquetes, y buscar en GitHub repositorios con la descripción “Sha1-Hulud: The Second Coming” para determinar si se expusieron credenciales internas.
Deshabilitar los scripts postinstall de npm en pipelines de CI previene la ejecución futura durante la instalación, y fijar las versiones de los paquetes con archivos lock limita la exposición a lanzamientos comprometidos recientemente.
El post Malicious worm compromises crypto domains in supply-chain attack apareció primero en CryptoSlate.
Descargo de responsabilidad: El contenido de este artículo refleja únicamente la opinión del autor y no representa en modo alguno a la plataforma. Este artículo no se pretende servir de referencia para tomar decisiones de inversión.
También te puede gustar
Por un lado amplía capacidad de cálculo, por el otro acapara espectro: Barclays ve con buenos ojos la adquisición de T-Mobile por parte de SpaceX (SPCX.US), ya que la red terrestre y Starlink se complementan con ventajas.
Después de que el precio de las acciones de Space subiera durante dos días consecutivos, Barclays afirmó que T-Mobile es la opción "más limpia" entre los posibles objetivos de adquisición de SpaceX. Barclays considera que Verizon representa una gran incógnita, mientras que la compatibilidad estratégica de AT&T es la más baja.
¿La Reserva Federal subirá las tasas de interés en diciembre? ¡El IPC de esta noche será decisivo!
Los datos del IPC de octubre se publicarán esta noche, y el mercado ya le asigna un 86% de probabilidad a una subida de tasas de interés. Goldman Sachs predice que el IPC subyacente mensual será solo del 0,16%, mucho más bajo de lo esperado por el mercado, pero factores “blandos” como la distorsión en las estadísticas de seguros de salud y la caída en los autos usados son difíciles de trasladar al PCE subyacente, que es el indicador al que la Reserva Federal presta más atención. Es posible que los datos provoquen un rebote de alivio, pero difícilmente cambien el tono agresivo de la política monetaria.
¡Un PE de 14 veces no es una ganga! El CEO de una reconocida gestora de patrimonio advierte: si los beneficios de Nvidia (NVDA.US) se revisan a la baja en un 5%, el precio de sus acciones podría caer un 40%
Josh Brown, CEO de Ritholtz Wealth Management, cuestionó la opinión de que “un PER de 14 veces es una ganga” y advirtió: “Si en los próximos 12 meses las ganancias de Nvidia resultan ser un 5% menores a lo que esperamos, la acción podría caer un 40%.”
Citigroup: las ventas de cerveza en Estados Unidos no tocarán fondo hasta 2026, y la cerveza sin alcohol es la única trayectoria de crecimiento seguro
El volumen de envío de cerveza en Estados Unidos ha disminuido por quinto año consecutivo y caerá por debajo del nivel de 1980; Citi comenta que solo la cerveza sin alcohol tiene un futuro prometedor.
Precios de las criptos
Más
