Es una campa\u00f1a activa de compromiso de paquetes npm que afecta a m\u00faltiples bibliotecas JavaScript\/TypeScript publicadas en el registro npm.<\/p>\n\n\n\n
Entre las familias de paquetes comprometidos reportadas se encuentran:<\/p>\n\n\n\n
Recientemente, investigadores de StepSecurity revelaron una nueva campa\u00f1a de ataque contra el ecosistema npm denominada informalmente \u201cMiasma\u201d, un malware autorreplicante que se propaga mediante la manipulaci\u00f3n del archivo binding.gyp, utilizado por Node.js y node-gyp para compilar m\u00f3dulos nativos. A diferencia de los ataques tradicionales de npm que dependen de scripts La investigaci\u00f3n indica que los atacantes insertan un archivo Una vez ejecutado, el malware roba credenciales y tokens asociados al ecosistema de desarrollo, incluyendo credenciales de npm, GitHub y plataformas CI\/CD. Posteriormente utiliza dichos accesos para modificar y republicar otros paquetes leg\u00edtimos bajo control de las v\u00edctimas, generando una propagaci\u00f3n autom\u00e1tica similar a un gusano (worm). Este comportamiento representa una evoluci\u00f3n significativa respecto a campa\u00f1as anteriores como Shai-Hulud y Mini Shai-Hulud, que tambi\u00e9n utilizaron el robo de credenciales para comprometer paquetes de terceros a gran escala. <\/p>\n\n\n\n El impacto potencial es elevado debido a que npm constituye uno de los repositorios de software m\u00e1s utilizados del mundo. Una \u00fanica cuenta de mantenedor comprometida puede permitir la distribuci\u00f3n de c\u00f3digo malicioso a miles o millones de instalaciones descendentes, afectando estaciones de desarrollo, pipelines CI\/CD, entornos cloud y aplicaciones empresariales.<\/p>\n\n\n\n Las organizaciones que utilicen Node.js y npm deber\u00edan realizar una revisi\u00f3n inmediata de las dependencias instaladas recientemente, especialmente aquellas actualizadas durante los \u00faltimos d\u00edas. Se recomienda identificar paquetes que incluyan archivos Asimismo, es recomendable rotar de manera preventiva credenciales de npm, GitHub, GitLab, Azure DevOps y cualquier otra plataforma CI\/CD que pueda haber estado accesible desde equipos de desarrollo potencialmente afectados. Los atacantes han demostrado inter\u00e9s espec\u00edfico en la exfiltraci\u00f3n de secretos y tokens que permitan movimientos laterales dentro de la cadena de suministro de software. <\/p>\n\n\n\n Las organizaciones tambi\u00e9n deber\u00edan implementar pol\u00edticas de:<\/p>\n\n\n\n Dado que se trata de una campa\u00f1a de malware y no de una vulnerabilidad espec\u00edfica, actualmente no existe un parche \u00fanico del fabricante. La remediaci\u00f3n depende de identificar y eliminar las versiones comprometidas de los paquetes afectados y rotar las credenciales potencialmente expuestas.<\/p>\n\n\n\npreinstall, install o postinstall<\/code>, esta t\u00e9cnica aprovecha un mecanismo menos monitoreado por herramientas de seguridad, permitiendo la ejecuci\u00f3n de c\u00f3digo malicioso durante la instalaci\u00f3n de dependencias sin modificar los scripts convencionales del archivo package.json. <\/p>\n\n\n\nbinding.gyp<\/code> especialmente dise\u00f1ado dentro de paquetes leg\u00edtimos comprometidos. Cuando un desarrollador instala el paquete, el proceso de compilaci\u00f3n ejecutado por node-gyp<\/code> desencadena la carga \u00fatil maliciosa. Debido a que muchas soluciones de seguridad se enfocan principalmente en analizar scripts de instalaci\u00f3n presentes en package.json<\/code>, esta t\u00e9cnica logra evadir m\u00faltiples controles de detecci\u00f3n existentes. <\/p>\n\n\n\nSoluci\u00f3n:<\/h2>\n\n\n\n
binding.gyp<\/code> inesperados o modificaciones recientes no justificadas en componentes utilizados internamente. <\/p>\n\n\n\n\n
Informaci\u00f3n adicional:<\/h2>\n\n\n\n
\n