Un ataque de phishing permitió la manipulación de 18 paquetes JavaScript muy utilizados en el repositorio NPM. El ataque fue orientado a robar criptomonedas.
El incidente y su desarrollo
Un mantenedor de NPM fue víctima de un ataque de phishing que le permitió a los atacantes insertar malware en 18 librerías. Las librerías afectadas tienen miles de millones de descargas semanales.
El ataque comenzó con un correo que simulaba ser de NPM, solicitando actualizar el segundo factor de autenticación. El desarrollador entregó sus credenciales y el código OTP, lo cual permitió a los atacantes acceder a su cuenta.
Impacto del malware inyectado
Los atacantes inyectaron código malicioso en 18 paquetes populares. El malware interceptaba operaciones con criptomonedas en el navegador, modificando destinatarios de pagos y alterando la interfaz sin que el usuario lo notase.
Riesgos identificados
El riesgo principal radica en la rapidez con la que los paquetes afectados se integran en proyectos, a través de instalaciones y actualizaciones automáticas. Un ataque con otro propósito podría haber causado daños más graves, como filtraciones masivas o ejecución de malware difícil de detectar.
Recomendaciones para mitigar el riesgo
Utilizar métodos de autenticación anti-phishing, como llaves físicas de seguridad (WebAuthn/FIDO2). Exigir attestación de procedencia al publicar en paquetes populares.
Implementar monitorización de integridad y análisis anti-malware en las dependencias. Concienciar a los desarrolladores sobre la sofisticación del phishing dirigido. Auditar las dependencias y reforzar las políticas de publicación en proyectos ampliamente distribuidos.