{"id":10582,"date":"2025-04-21T15:30:16","date_gmt":"2025-04-21T20:30:16","guid":{"rendered":"https:\/\/beaconlab.us\/?p=10582"},"modified":"2025-04-21T15:40:50","modified_gmt":"2025-04-21T20:40:50","slug":"paquetes-npm-falsos-apuntan-a-bots-de-telegram","status":"publish","type":"post","link":"https:\/\/beaconlab.us\/es\/paquetes-npm-falsos-apuntan-a-bots-de-telegram\/","title":{"rendered":"Paquetes npm falsos apuntan a bots de Telegram"},"content":{"rendered":"\n<p>Descubrimiento&nbsp;<\/p>\n\n\n\n<p>El equipo de investigaci\u00f3n de amenazas ha identificado un nuevo ataque a la cadena de suministro (Supply Chain Attack) que afecta a desarrolladores de bots para Telegram. Se trata de bibliotecas npm maliciosas que, bajo el nombre de populares paquetes relacionados con la API de bots de Telegram, instalan puertas traseras SSH y rutinas de exfiltraci\u00f3n de datos en sistemas Linux.&nbsp;<\/p>\n\n\n\n<p>Telegram, con m\u00e1s de mil millones de usuarios activos mensuales en 2025, se ha convertido en un objetivo atractivo debido a su arquitectura abierta y sin un control centralizado para bots. Esta flexibilidad permite que cualquier desarrollador publique bots sin un proceso de verificaci\u00f3n formal, lo que facilita que actores maliciosos distribuyan paquetes falsos.&nbsp;<\/p>\n\n\n\n<p>Los paquetes identificados <strong>node-telegram-utils, node-telegram-bots-api<\/strong> y <strong>node-telegram-uti<\/strong> imitan al popular node-telegram-bot-api, incluso replicando su README y enlazando al repositorio leg\u00edtimo para aparentar autenticidad. Una vez instalados, ejecutan autom\u00e1ticamente una funci\u00f3n oculta al instanciarse que modifica el archivo authorized_keys del sistema para incluir claves SSH del atacante, permitiendo acceso persistente. Adem\u00e1s, exfiltran la IP externa y el nombre de usuario del sistema a un dominio malicioso.&nbsp;<\/p>\n\n\n\n<p>A continuaci\u00f3n, se muestra parte del c\u00f3digo que realiza estas acciones:&nbsp;<\/p>\n\n\n\n<figure class=\"wp-block-image size-large\"><img fetchpriority=\"high\" decoding=\"async\" width=\"1024\" height=\"450\" src=\"https:\/\/beaconlab.us\/wp-content\/uploads\/2025\/04\/image-1024x450.png\" alt=\"\" class=\"wp-image-10583\" srcset=\"https:\/\/beaconlab.us\/wp-content\/uploads\/2025\/04\/image-1024x450.png 1024w, https:\/\/beaconlab.us\/wp-content\/uploads\/2025\/04\/image-300x132.png 300w, https:\/\/beaconlab.us\/wp-content\/uploads\/2025\/04\/image-768x337.png 768w, https:\/\/beaconlab.us\/wp-content\/uploads\/2025\/04\/image-1536x674.png 1536w, https:\/\/beaconlab.us\/wp-content\/uploads\/2025\/04\/image.png 1544w\" sizes=\"(max-width: 1024px) 100vw, 1024px\" \/><\/figure>\n\n\n\n<p>El simple hecho de eliminar el paquete no revoca el acceso, ya que las claves SSH permanecen en el sistema. Estos incidentes demuestran c\u00f3mo una sola instalaci\u00f3n puede comprometer completamente un entorno de desarrollo o producci\u00f3n.&nbsp;<\/p>\n\n\n\n<p>Bibliotecas npm maliciosas explotan bots de Telegram para acceso persistente Para mitigar estos riesgos, es crucial auditar regularmente las dependencias y utilizar herramientas como la CLI de Socket, su extensi\u00f3n para navegador y su integraci\u00f3n en GitHub, que permiten identificar actividad maliciosa en tiempo real y evitar su propagaci\u00f3n en entornos productivos.&nbsp;<\/p>\n\n\n\n<p>Indicadores de compromiso (IOC)\u202f:&nbsp;&nbsp;<\/p>\n\n\n\n<p>Paquetes maliciosos&nbsp;<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.npmjs.com\/package\/node-telegram-utils\" target=\"_blank\" rel=\"noreferrer noopener\">node-telegram-utils<\/a>\u00a0<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/socket.dev\/npm\/package\/node-telegram-bots-api\/alerts\/0.66.0?alert_name=malware\" target=\"_blank\" rel=\"noreferrer noopener\">node-telegram-bots-api<\/a>\u00a0<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/socket.dev\/npm\/package\/node-telegram-util\/alerts\/0.69.0\" target=\"_blank\" rel=\"noreferrer noopener\">node-telegram-util<\/a>\u00a0<\/li>\n<\/ul>\n\n\n\n<p>Informaci\u00f3n adicional:&nbsp;<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>https:\/\/socket.dev\/blog\/npm-malware-targets-telegram-bot-developers\u00a0\u00a0<\/li>\n<\/ul>\n\n\n\n<ul class=\"wp-block-list\">\n<li>https:\/\/thehackernews.com\/2025\/04\/rogue-npm-packages-mimic-telegram-bot.html\u00a0<\/li>\n<\/ul>\n\n\n\n<p><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Descubrimiento&nbsp; El equipo de investigaci\u00f3n de amenazas ha identificado un nuevo ataque a la cadena de suministro (Supply Chain Attack) que afecta a desarrolladores de bots para Telegram. Se trata de bibliotecas npm maliciosas que, bajo el nombre de populares paquetes relacionados con la API de bots de Telegram, instalan puertas traseras SSH y rutinas [&hellip;]<\/p>\n","protected":false},"author":11,"featured_media":10590,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"footnotes":""},"categories":[48],"tags":[],"class_list":["post-10582","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized"],"acf":[],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/posts\/10582","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/users\/11"}],"replies":[{"embeddable":true,"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/comments?post=10582"}],"version-history":[{"count":3,"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/posts\/10582\/revisions"}],"predecessor-version":[{"id":10592,"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/posts\/10582\/revisions\/10592"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/media\/10590"}],"wp:attachment":[{"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/media?parent=10582"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/categories?post=10582"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/tags?post=10582"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}